Debian-Sicherheitsankündigung

DSA-181-1 libapache-mod-ssl -- Site-übergreifendes Skripting

Datum des Berichts:
22. Okt 2002
Betroffene Pakete:
libapache-mod-ssl
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 6029.
In Mitres CVE-Verzeichnis: CVE-2002-1157.
Weitere Informationen:

Joe Orton entdeckte ein Site-übergreifendes Skripting-Problem in mod_ssl, einem Apache-Modul, das dem Web-Server starke Kryptographie (d.h. HTTPS-Unterstützung) hinzufügt. Das Modul liefert den Server-Namen als Antwort auf eine HTTP-Anfrage auf einem SSL-Port unbearbeitet zurück.

Wie auch die anderen kürzlichen Apache-XSS Fehler betrifft dies nur Server, die eine Kombination von "UseCanonicalName off" (Voreinstellung im Apache-Paket von Debian) und Wildcard-DNS verwenden. Es ist jedoch sehr unwahrscheinlich, dass es passiert. Apache 2.0/mod_ssl ist nicht verwundbar, da es dieses HTML bereits bearbeitet.

Wenn diese Einstellungen aktiviert sind und Apache eine selbst-referenzierende URL erstellen muss (eine URL, die auf den Server zurück verweist, von dem die Antwort kommt), wird er ServerName und Port dazu verwenden, um einen "kanonischen" Namen zu erstellen. Falls diese Einstellung abgedreht ist, wird Apache die Hostnamen:Port Kombination verwenden, die der Client bereitstellt, falls möglich. Dies betrifft ebenfalls SERVER_NAME und SERVER_PORT in CGI-Skripten.

Dieses Problem wurde in Version 2.8.9-2.1 für die aktuelle stable Distribution (Woody), in Version 2.4.10-1.3.9-1potato4 für die alte stable Distribution (Potato) und in Version 2.8.9-2.3 für die unstable Distribution (Sid) behoben.

Wir empfehlen Ihnen, Ihr libapache-mod-ssl Paket zu aktualisieren.

Behoben in:

Debian GNU/Linux 2.2 (potato)

Quellcode:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4.dsc
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4.diff.gz
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9.orig.tar.gz
Architektur-unabhängige Dateien:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl-doc_2.4.10-1.3.9-1potato4_all.deb
Alpha:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4_i386.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4_m68k.deb
PowerPC:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4_powerpc.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.4.10-1.3.9-1potato4_sparc.deb

Debian GNU/Linux 3.0 (woody)

Quellcode:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1.dsc
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1.diff.gz
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9.orig.tar.gz
Architektur-unabhängige Dateien:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl-doc_2.8.9-2.1_all.deb
Alpha:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_ia64.deb
HP Precision:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/liba/libapache-mod-ssl/libapache-mod-ssl_2.8.9-2.1_sparc.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.