S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 05 mars 2002
N° CERTA-2002-AVI-049
Affaire suivie par: CERT-FR
le 05 mars 2002

Avis du CERT-FR

Objet: Vulnérabilité SSL sous Apache

Gestion du document

Référence CERTA-2002-AVI-049
Titre Vulnérabilité SSL sous Apache
Date de la première version 05 mars 2002
Date de la dernière version 05 mars 2002
Source(s) Liste de diffusion Bugtraq
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance.

Systèmes affectés

  • Versions du module mod_ssl antérieures à la version 2.8.7-1.3.23;
  • versions de Apache-ssl antérieures à la version 1.3.22-1.47.

Résumé

Une vulnérabilité de type « débordement de mémoire » présente dans le module mod_ssl et apache-ssl permet à un utilisateur mal intentionné l'exécution de code arbitraire à distance.

Description

SSL permet l'utilisation de connexions sécurisées sur des serveurs web (https://) ou autres serveurs sécurisés (ftps://).

Une vulnérabilité de type « débordement de mémoire » à été découverte dans le mécanisme de gestion de cache de sessions.

Cette vulnérabilité permet à un utilisateur mal intentionné de réaliser l'exécution de code arbitraire à distance.

Contournement provisoire

Désactiver le paramètre -DSSL dans le script httpd en attendant d'appliquer les correctifs.

Solution

Installer les correctifs disponibles sur 

http://www.apache-ssl.org/
et sur 
http://www.modssl.org/

Documentation

Gestion détaillée du document

    le 05 mars 2002
    version initiale.