Bulletin d'alerte Debian

DSA-4164-1 apache2 -- Mise à jour de sécurité

Date du rapport :
3 avril 2018
Paquets concernés :
apache2
Vulnérabilité :
Oui
Références dans la base de données de sécurité :
Dans le dictionnaire CVE du Mitre : CVE-2017-15710, CVE-2017-15715, CVE-2018-1283, CVE-2018-1301, CVE-2018-1303, CVE-2018-1312.
Plus de précisions :

Plusieurs vulnérabilités ont été découvertes dans le serveur web HTTPD Apache.

  • CVE-2017-15710

    Alex Nichols et Jakob Hirsch ont signalé que mod_authnz_ldap, s'il est configuré avec l'option AuthLDAPCharsetConfig, pourrait provoquer une lecture hors limite si un en-tête Accept-Language contrefait est fourni. Cela pourrait éventuellement être utilisé pour une attaque par déni de service.

  • CVE-2017-15715

    Elar Lang a découvert que l'expression spécifiée dans <FilesMatch> pourrait faire correspondre « $ » à un caractère de changement de ligne dans un nom de fichier malveillant, plutôt que de correspondre seulement à la fin du nom de fichier. Cela pourrait être exploité dans des environnements où l'envoi de certains fichiers est bloqué extérieurement, mais seulement en cherchant la correspondance avec la partie en fin de ligne du nom de ficher.

  • CVE-2018-1283

    Quand mod_session est configuré pour faire suivre ses données de session aux applications CGI (option SessionEnv activée, pas l'option par défaut), un utilisateur distant pourrait affecter leur contenu en utilisant un en-tête Session.

  • CVE-2018-1301

    Robert Swiecki a signalé qu'une requête contrefaite pour l'occasion pourrait faire planter le serveur HTTP Apache, du fait d'un accès hors limite après que la limite de taille a été atteinte en lisant l'en-tête HTTP.

  • CVE-2018-1303

    Robert Swiecki a signalé qu'un en-tête de requête HTTP contrefait pour l'occasion pourrait faire planter le serveur HTTP Apache lors de l'utilisation de mod_cache_socache, du fait d'une lecture hors limite pendant la préparation des données à mettre en cache dans la mémoire partagée.

  • CVE-2018-1312

    Nicolas Daniels a découvert que, lors de la création d'un défi d'authentification par Digest HTTP, le nonce envoyé par mod_auth_digest pour empêcher les attaques par rejeu n'était pas correctement généré en utilisant une graine pseudo-aléatoire. Dans une grappe de serveurs utilisant une configuration d'authentification par Digest commune, les requêtes HTTP pourraient être rejouées par un attaquant sans détection dans les serveurs.

Pour la distribution oldstable (Jessie), ces problèmes ont été corrigés dans la version 2.4.10-10+deb8u12.

Pour la distribution stable (Stretch), ces problèmes ont été corrigés dans la version 2.4.25-3+deb9u4.

Nous vous recommandons de mettre à jour vos paquets apache2.

Pour disposer d'un état détaillé sur la sécurité de apache2, veuillez consulter sa page de suivi de sécurité à l'adresse : https://security-tracker.debian.org/tracker/apache2