Debians sikkerhedsbulletin

DSA-120-1 mod_ssl -- bufferoverløb

Rapporteret den:
10. mar 2002
Berørte pakker:
libapache-mod-ssl, apache-ssl
Sårbar:
Ja
Referencer i sikkerhedsdatabaser:
I Mitres CVE-ordbog: CVE-2002-0082.
Yderligere oplysninger:

Ed Moyle fandt for nylig et bufferoverløb i Apache-SSL og mod_ssl. Med "session caching" slået til serialisere mod_ssl SSL-sessionsvariable, for at gemme dem til senere brug. Disse variable blev gemt i en buffer med en bestemt størrelse, uden korrekt kontrol for overskridelse af bufferens grænser.

For at udnytte overløbet skal serveren være sat op til at kræve klientcertifikater, og en angriber skal have fat i et omhyggeligt udformet klientcertifikat, signeret af certificeringsmyndighed som serveren stoler på. Hvis disse betingelser er opfyldt, er det muligt for angriberen at udføre vilkårlig kode på serveren.

Problemet er rettet i version 1.3.9.13-4 af Apache-SSL og version 2.4.10-1.3.9-1potato1 af libapache-mod-ssl i Debians stabile distribution, foruden version 1.3.23.1+1.47-1 af Apache-SSL og version 2.8.7-1 af libapache-mod-ssl i Debians test- og ustabile distribution.

Vi anbefaler at du opgraderer dine Apache-SSL- og mod_ssl-pakker.

Rettet i:

Debian GNU/Linux 2.2 (potato)

Kildekode:
http://security.debian.org/dists/stable/updates/main/source/apache-ssl_1.3.9.13-4.diff.gz
http://security.debian.org/dists/stable/updates/main/source/apache-ssl_1.3.9.13-4.dsc
http://security.debian.org/dists/stable/updates/main/source/apache-ssl_1.3.9.13.orig.tar.gz
http://security.debian.org/dists/stable/updates/main/source/libapache-mod-ssl_2.4.10-1.3.9-1potato1.diff.gz
http://security.debian.org/dists/stable/updates/main/source/libapache-mod-ssl_2.4.10-1.3.9-1potato1.dsc
http://security.debian.org/dists/stable/updates/main/source/libapache-mod-ssl_2.4.10-1.3.9.orig.tar.gz
Arkitekturuafhængig komponent:
http://security.debian.org/dists/stable/updates/main/binary-all/libapache-mod-ssl-doc_2.4.10-1.3.9-1potato1_all.deb
Alpha:
http://security.debian.org/dists/stable/updates/main/binary-alpha/apache-ssl_1.3.9.13-4_alpha.deb
http://security.debian.org/dists/stable/updates/main/binary-alpha/libapache-mod-ssl_2.4.10-1.3.9-1potato1_alpha.deb
ARM:
http://security.debian.org/dists/stable/updates/main/binary-arm/apache-ssl_1.3.9.13-4_arm.deb
http://security.debian.org/dists/stable/updates/main/binary-arm/libapache-mod-ssl_2.4.10-1.3.9-1potato1_arm.deb
Intel ia32:
http://security.debian.org/dists/stable/updates/main/binary-i386/apache-ssl_1.3.9.13-4_i386.deb
http://security.debian.org/dists/stable/updates/main/binary-i386/libapache-mod-ssl_2.4.10-1.3.9-1potato1_i386.deb
Motorola 680x0:
http://security.debian.org/dists/stable/updates/main/binary-m68k/apache-ssl_1.3.9.13-4_m68k.deb
http://security.debian.org/dists/stable/updates/main/binary-m68k/libapache-mod-ssl_2.4.10-1.3.9-1potato1_m68k.deb
PowerPC:
http://security.debian.org/dists/stable/updates/main/binary-powerpc/apache-ssl_1.3.9.13-4_powerpc.deb
http://security.debian.org/dists/stable/updates/main/binary-powerpc/libapache-mod-ssl_2.4.10-1.3.9-1potato1_powerpc.deb
Sun Sparc:
http://security.debian.org/dists/stable/updates/main/binary-sparc/apache-ssl_1.3.9.13-4_sparc.deb
http://security.debian.org/dists/stable/updates/main/binary-sparc/libapache-mod-ssl_2.4.10-1.3.9-1potato1_sparc.deb

MD5-kontrolsummer for de listede filer findes i den originale sikkerhedsbulletin.