{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[],"affected_systems_content":"<P>Serveur HTTP Apache-SSL versions 1.3.28+1.52 et  ant\u00e9rieures.</P>","content":"## Description\n\nApache-SSL est un serveur HTTP bas\u00e9 sur le serveur HTTP Apache et\nSSLeay/OpenSSL.  \n\nA l'aide de l'instruction SSLVerifyClient, il est possible de v\u00e9rifier\nla pr\u00e9sence d'un certificat c\u00f4t\u00e9 client. Pour cela, le serveur n\u00e9cessite\nun fichier contenant, pour chaque utilisateur autoris\u00e9 \u00e0 se connecter,\nle Distinguished Name (DN) du client, et le chiffrement du mot de passe\npar d\u00e9faut password (la cha\u00eene chiffr\u00e9e est xxj31ZMTZzkVA).  \n\nDans le cas o\u00f9 le certificat client est optionnel (la valeur de\nl'instruction SSLVerifyClient fix\u00e9e \u00e0 \"1\" ou \u00e0 \"3\"), et si la directive\nSSLFakeBasicAuth est activ\u00e9e, il est alors possible pour une personne\nmal intentionn\u00e9e d'usurper l'identit\u00e9 d'un utilisateur (le DN) pour se\nconnecter au serveur.\n\n## Solution\n\nLa version 1.3.29+1.53 corrige cette vuln\u00e9rabilit\u00e9. Elle est disponible\nsur le site d'Apache-SSL (cf. section Documentation).\n","cves":[],"links":[{"title":"Site du serveur HTTP Apache-SSL :","url":"http://www.apache-ssl.org"}],"reference":"CERTA-2004-AVI-029","revisions":[{"description":"version initiale.","revision_date":"2004-02-10T00:00:00.000000"},{"description":"ajout r\u00e9f\u00e9rence au bulletin de s\u00e9curit\u00e9 FreeBSD.","revision_date":"2004-05-12T00:00:00.000000"}],"risks":[{"description":"Acc\u00e8s non autoris\u00e9 au serveur http apache-ssl"}],"summary":"Une vuln\u00e9rabilit\u00e9 dans le serveur HTTP Apache-SSL permet \u00e0 un\nutilisateur mal intentionn\u00e9 d'acc\u00e8der au serveur sans autorisation.\n","title":"Vuln\u00e9rabilit\u00e9 du serveur HTTP Apache-SSL","vendor_advisories":[{"published_at":null,"title":"Avis de s\u00e9curit\u00e9 d'Apache-SSL du 06 f\u00e9vrier 2004","url":null}]}