Bacheca Debian sulla sicurezza

DSA-187-1 apache -- varie vulnerabilità

Data della segnalazione:
04 nov 2002
Pacchetti coinvolti:
apache
Vulnerabile:
Referenze all'interno del database della sicurezza:
Nel database Bugtraq (presso SecurityFocus): Numero del bug 5847, Numero del bug 5884, Numero del bug 5887, Numero del bug 2182, Numero del bug 5995.
Nel dizionario CVE di Mitre: CVE-2002-0839, CVE-2002-0840, CVE-2002-0843, CVE-2001-0131, CVE-2002-1233.
Maggiori informazioni:

Secondo David Wagner, iDEFENSE e l'Apache HTTP Server Project, varie vulnerabilità sfruttabili remotamente sono state trovate nel pacchetto Apache, un server web molto diffuso. Queste vulnerabilità potrebbero permettere ad un attaccante di attivare un 'denial of service' verso un server oppure l'esecuzione di uno script sulla macchina remota. Il progetto Common Vulnerabilities and Exposures (CVE) ha identificato le seguenti vulnerailtà:

  1. CAN-2002-0839: Una vulnerabilità che esiste sulle piattaforme che utilizzano le 'scorebord' basate sulla memoria condivisa secondo la tecnolgia System V. Questa vulnerabilità permette ad un attaccante che possa eseguire codice con lo UID di apache, di accedere alle 'scoreboard' di apache e inviare un segnale con i diritti di root a qualsiasi processo, oppure di causare un 'denial of service'.
  2. CAN-2002-0840: Apache è suscettibile ad una vulnerabilità che gli fa eseguire uno script remoto nel caso della pagina di default per l'errore 404 nel caso apache stia utilizzando un dominio che permetta delle interrogazioni a DNS tramite caratteri jolly.
  3. CAN-2002-0843: C'erano alcuni possibili overflow nel programma ApacheBench (ab) che avrebbero potuto essere sfruttati da un server malizioso.
  4. CAN-2002-1233: Una condizione di errore nei programmi htpasswd e htdigest permette ad un utente locale malizioso di leggere ed anche modificare il contenuto del file delle password o di creare facilmente o sovrascrivere file come l'utente che esegue htpasswd (o htdigest rispettivamente).
  5. CAN-2001-0131: htpasswd e htdigest in Apache 2.0a9, 1.3.14 e altri permette agli utenti locali di sovrascrivere file tramite attacchi via link simbolici.

    Questa è la stessa vulnerabilità si CAN-2002-1233, che era stata corretta in potato, ma che era andata perdura e che non era mai stata applicata a monte.

  6. NO-CAN: Vari overflows di buffer sono stati trovati in ApacheBench (ab) che avrebbero potuto essere sfruttati da un attacco remoto tramite l'utilizzo di stringhe molto lunghe.

Questi problemi sono stai roslti nella versione 1.3.26-0woody3 per la attuale distribuzione stable (woody) e nella 1.3.9-14.3 per la vecchia distribuzione stable (potato). I pacchetti corretti per la distribuzione unstable (sid) saranno pronti presto.

Suggeriamo di aggiornare immediatamente i propri pacchetti Apache.

Risolto in:

Debian GNU/Linux 2.2 (potato)

Sorgente:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3.diff.gz
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3.dsc
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9.orig.tar.gz
Componente indipendente dall'architettura:
http://security.debian.org/pool/updates/main/a/apache/apache-doc_1.3.9-14.3_all.deb
Alpha:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3_alpha.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_alpha.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.9-14.3_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3_arm.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_arm.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.9-14.3_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3_i386.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_i386.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.9-14.3_i386.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3_m68k.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_m68k.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.9-14.3_m68k.deb
PowerPC:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3_powerpc.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_powerpc.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.9-14.3_powerpc.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3_sparc.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_sparc.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.9-14.3_sparc.deb

Debian GNU/Linux 3.0 (woody)

Sorgente:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3.diff.gz
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3.dsc
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26.orig.tar.gz
Componente indipendente dall'architettura:
http://security.debian.org/pool/updates/main/a/apache/apache-doc_1.3.26-0woody3_all.deb
Alpha:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_alpha.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_alpha.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_alpha.deb
ARM:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_arm.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_arm.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_arm.deb
Intel IA-32:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_i386.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_i386.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_i386.deb
Intel IA-64:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_ia64.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_ia64.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_ia64.deb
HP Precision:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_hppa.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_hppa.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_hppa.deb
Motorola 680x0:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_m68k.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_m68k.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_m68k.deb
Big endian MIPS:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_mips.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_mips.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_mips.deb
Little endian MIPS:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_mipsel.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_mipsel.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_mipsel.deb
PowerPC:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_powerpc.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_powerpc.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_powerpc.deb
IBM S/390:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_s390.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_s390.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_s390.deb
Sun Sparc:
http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_sparc.deb
http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_sparc.deb
http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_sparc.deb

Somma di controllo MD5 per i file in elenco disponibile nella notizia originale.