Secondo David Wagner, iDEFENSE e l'Apache HTTP Server
Project, varie vulnerabilità sfruttabili remotamente sono state trovate
nel pacchetto Apache, un server web molto diffuso. Queste vulnerabilità
potrebbero permettere ad un attaccante di attivare un 'denial of service'
verso un server oppure l'esecuzione di uno script sulla macchina remota.
Il progetto Common Vulnerabilities and Exposures (CVE) ha identificato
le seguenti vulnerailtà:
- CAN-2002-0839: Una vulnerabilità che esiste sulle piattaforme che
utilizzano le 'scorebord' basate sulla memoria condivisa secondo la
tecnolgia System V. Questa vulnerabilità permette ad un attaccante
che possa eseguire codice con lo UID di apache, di accedere alle
'scoreboard' di apache e inviare un segnale con i diritti di root a
qualsiasi processo, oppure di causare un 'denial of service'.
- CAN-2002-0840: Apache è suscettibile ad una vulnerabilità che gli
fa eseguire uno script remoto nel caso della pagina di default per
l'errore 404 nel caso apache stia utilizzando un dominio che permetta
delle interrogazioni a DNS tramite caratteri jolly.
- CAN-2002-0843: C'erano alcuni possibili overflow nel programma
ApacheBench (ab) che avrebbero potuto essere sfruttati da un server
malizioso.
- CAN-2002-1233: Una condizione di errore nei programmi htpasswd e
htdigest permette ad un utente locale malizioso di leggere ed anche
modificare il contenuto del file delle password o di creare facilmente
o sovrascrivere file come l'utente che esegue htpasswd (o htdigest
rispettivamente).
- CAN-2001-0131: htpasswd e htdigest in Apache 2.0a9, 1.3.14 e
altri permette agli utenti locali di sovrascrivere file tramite attacchi
via link simbolici.
Questa è la stessa vulnerabilità si CAN-2002-1233, che era stata corretta
in potato, ma che era andata perdura e che non era mai stata applicata
a monte.
- NO-CAN: Vari overflows di buffer sono stati trovati in ApacheBench
(ab) che avrebbero potuto essere sfruttati da un attacco remoto tramite
l'utilizzo di stringhe molto lunghe.
Questi problemi sono stai roslti nella versione 1.3.26-0woody3 per la
attuale distribuzione stable (woody) e nella 1.3.9-14.3 per la vecchia
distribuzione stable (potato). I pacchetti corretti per la distribuzione
unstable (sid) saranno pronti presto.
Suggeriamo di aggiornare immediatamente i propri pacchetti Apache.
