Säkerhetsbulletin från Debian

DSA-4164-1 apache2 -- säkerhetsuppdatering

Rapporterat den:
2018-04-03
Berörda paket:
apache2
Sårbara:
Ja
Referenser i säkerhetsdatabaser:
I Mitres CVE-förteckning: CVE-2017-15710, CVE-2017-15715, CVE-2018-1283, CVE-2018-1301, CVE-2018-1303, CVE-2018-1312.
Ytterligare information:

Flera sårbarheter har upptäckts i HTTPD-servern Apache.

  • CVE-2017-15710

    Alex Nichols och Jakob Hirsch rapporterade att mod_authnz_ldap kunde orsaka en skrivning utanför gränserna om den är konfigurerad med AuthLDAPCharsetConfig och om den tillhandahålls med en skapad Accept-Language-rubrik. Detta kunde potentiellt användas för ett överbelastningsangrepp.

  • CVE-2017-15715

    Elar Lang upptäckte att uttryck som specificerats i <FilesMatch> kunde matcha '$' med ett nyradstecken i ett illasinnat filnamn, istället för att endast matcha slutet på filnamnet. Detta kunde utnyttjas i miljöer där uppladdningar av några filer blockeras externt, men endast genom att matcha avslutande delen av filnamnet.

  • CVE-2018-1283

    När mod_session är konfigurerat till att vidarebefordra sin sessionsdata till CGI-applikationer (SessionEnv påslaget, vilket inte är standard), kunde en fjärranvändare influera dess innehåll genom att använda ett Session-huvud.

  • CVE-2018-1301

    Robert Swiecki rapporterade att en speciellt skapad förfrågan kunde krascha Apache HTTP-Servern, på grunder av en åtkomst utanför gränserna efter en storleksbegränsning är nådd genom att läsa HTTP-huvudet.

  • CVE-2018-1303

    Robert Swiecki rapporterade att en speciellt skapad HTTP-förfråganshuvud kunde krascha HTTP-servern Apache om den använder mod_cache_socache, på grund av en läsning utanför gränserna medan den förbereder data för cachning i delat minne.

  • CVE-2018-1312

    Nicolas Daniels upptäckte att vid generering av en HTTP Digest authentication challenge, genererades inte den slumpmässiga kod som skickas av mod_auth_digest för att förhindra replay-angrepp korrekt med hjälp av ett pseudo-slumptalsfrö korrekt. I en kluster av servrar som använder en vanlig Digest-autentiseringskonfiguration, kunde HTTP-förfrågningar återspelas över servrar av en angripare utan detektering.

För den gamla stabila utgåvan (Jessie) har dessa problem rättats i version 2.4.10-10+deb8u12.

För den stabila utgåvan (Stretch) har dessa problem rättats i version 2.4.25-3+deb9u4.

Vi rekommenderar att ni uppgraderar era apache2-paket.

För detaljerad säkerhetsstatus om apache2 vänligen se dess säkerhetsspårarsida på: https://security-tracker.debian.org/tracker/apache2