Nouvelles vulnérabilités pour Apache 1.3.28 / 2.0.47 et mod_security 1.7.1

Posté par BillyTheKid le 03 novembre 2003 à 23:42. Modéré par Jean-Yves B..

Étiquettes :

nov.

2003

Une vulnérabilité de type buffer overflow a été identifiée dans Apache. Le problème se situe dans les modules « mod_alias » et « mod_rewrite », l'exploitation nécessite un fichier .htaccess spécifique. Dans Apache 2 le socket AF_UNIX utilisé par « mod_cgid » afin de communiquer avec le daemon cgid ou des scripts CGI n'est pas correctement manipulé.

mod_security (Apache 2) est touché quant à lui par une vulnérabilité locale. Cette faille est causée par une erreur dans la manipulation des données générées par le serveur, ce qui pourrait être exploité via des fichiers PHP/CGI spécifiques afin d'exécuter des commandes avec les privilèges du serveur httpd.

Aller plus loin

# Re: Nouvelles vulnérabilités pour Apache 1.3.28 / 2.0.47 et mod_security 1.7.1

Posté par paparoot le 04 novembre 2003 à 00:18. Évalué à 4.

"afin d'exécuter des commandes avec les privilèges du serveur httpd."

J'espère qu'il n'y a pas des tanches pr executer apache avec le root comme user ...
- [^] # Re: Nouvelles vulnérabilités pour Apache 1.3.28 / 2.0.47 et mod_security 1.7.1
  
  Posté par Jean-Yves B. le 04 novembre 2003 à 00:22. Évalué à 7.
  
  T'es pas toujours en root sur ta machine à toi ? T'es un newbie ou quoi ? ;)
  - [^] # Re: Nouvelles vulnérabilités pour Apache 1.3.28 / 2.0.47 et mod_security 1.7.1
    
    Posté par paparoot le 04 novembre 2003 à 00:42. Évalué à 8.
    
    " T'es pas toujours en root sur ta machine à toi ? "
    
    Si si et j'ai même mis un `rm -rf /home` dans ma crontab pr éviter la tentation d'être un simple user . Rhaa comme c'est bon d'être le Big Boss parfois, tiens qu'est-ce que je vais pouvoir saccager aujourd'hui ? Oh, tiens, /var/spool/mail commence à grossir, faisons de la place, hop, je le cache dans /dev/null . Et vive les gros BOfH !
    
    Soyons radicaux, mais soyons des radicaux libres !
    
    Ps : t'as l'bonjour de Pierre et Marie Curie
- [^] # Re: Nouvelles vulnérabilités pour Apache 1.3.28 / 2.0.47 et mod_security 1.7.1
  
  Posté par duf le 04 novembre 2003 à 00:31. Évalué à 1.
  
  ça doit se trouver facilement...
- [^] # Re: Nouvelles vulnérabilités pour Apache 1.3.28 / 2.0.47 et mod_security 1.7.1
  
  Posté par Laurent Laborde (site web personnel) le 04 novembre 2003 à 08:12. Évalué à -2.
  
  Bein non, c'est trop compliqué de changer le httpd.conf :)
# Re: Nouvelles vulnérabilités pour Apache 1.3.28 / 2.0.47 et mod_security 1.7.1

Posté par kd le 04 novembre 2003 à 00:41. Évalué à 5.

a bin je suis déjà passé en 2.0.48 :)

et d'ailleurs, j'ai de toute façon désactivé tous les modules, parce que c'est plus sûr et je n'en ai pas l'usage.
Je n'ai gardé que les 3 nécessaires :
* mod_access,
* mod_log_config,
* mod_mime.
J'ai dû rajouté mod_headers aussi pour faire marcher PHP.

Enfin moins on fait marcher de trucs inutiles, moins il y a de risque, on ne le répètera jamais assez :)
# Concernant Apache

Posté par FRLinux (site web personnel) le 04 novembre 2003 à 10:09. Évalué à 6.

C'est pendant que j'avalais gentillement mon double espresso que j'ai faillit avoir une attaque cardiaque, mais apres une verification rapide, les failles apache sont celles recensees le 29/10/2003 (donc j'ai deja patche mes serveurs dont une partie tourne en FreeBSD).

Toute cette tranche de ma_vie pour preciser qu'il aurait ete judicieux de preciser que les failles apache sont locales :
http://www.secunia.com/advisories/10096/(...)

Steph
# Nouvelle version 4.3.4 de PHP

Posté par a_jr le 04 novembre 2003 à 11:28. Évalué à 2.

Nouvelle version d'apache, et aussi nouvelle version de PHP hier, le 3 novembre :)

http://www.php.net/ChangeLog-4.php#4.3.4(...)

(l'url de telechargement, tout le monde sait la trouver. Mais moins de gens vont voir le changelog. Verifiez le changelog, amis cliqueurs, l'url est ci-dessus ! )

Le bonjour chez vous,
Yves
# Re: Nouvelles vulnérabilités pour Apache 1.3.28 / 2.0.47 et mod_security 1.7.1

Posté par Encolpe DEGOUTE (site web personnel) le 04 novembre 2003 à 15:11. Évalué à 0.

Combien y aurait-il de buffer overflow en moins si toutes les applications étaient développées en C++?
- [^] # Re: Nouvelles vulnérabilités pour Apache 1.3.28 / 2.0.47 et mod_security 1.7.1
  
  Posté par pasPierre pasTramo le 04 novembre 2003 à 18:44. Évalué à 3.
  
  Je ne vois pas en quoi le C++ te protege de coder comme un porc.
  
  Toutes les conneries que tu peux faire en C , tu peux les faire en C++. C'est sur qu'en utilisant new, les references etc on fait moins de betises, mais les problemes des buffers overflows viennent souvent de buffers de taille fixe et d'un manque de test sur les variables.

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.