Sikkerhedsoplysninger / 2017 / Sikkerhedsoplysninger -- DSA-3896-1 apache2

Debians sikkerhedsbulletin

DSA-3896-1 apache2 -- sikkerhedsopdatering

Rapporteret den:

22. jun 2017

Berørte pakker:

apache2

Sårbar:

Ja

Referencer i sikkerhedsdatabaser:

I Mitres CVE-ordbog: CVE-2017-3167, CVE-2017-3169, CVE-2017-7659, CVE-2017-7668, CVE-2017-7679.

Yderligere oplysninger:

Flere sårbarheder er fundet i Apache HTTPD-server'en.

• CVE-2017-3167

  Emmanuel Dreyfus rapporterede at anvendelsen af ap_get_basic_auth_pw() af tredjepartsmoduler uden for autentifikationsfasen, kunne føre til omgåelse af autentifikationskrav.

• CVE-2017-3169

  Vasileios Panopoulos fra AdNovum Informatik AG opdagede at mod_ssl kunne dereferere en NULL-pointer når tredjepartsmoduler kalder ap_hook_process_connection() under en HTTP-forespørgsel til en HTTPS-port, førende til et lammelsesangreb.

• CVE-2017-7659

  Robert Swiecki rapporterede at en særligt fremstillet HTTP/2-forespørgsel kunne få mod_http2 til at dereferere en NULL-pointer og få serverprccessen til at gå ned.

• CVE-2017-7668

  Javier Jimenez rapporterede at den strikse HTTP-fortolkning indeholdt en fejl, der førte til en bufferoverlæsning i ap_find_token(). En fjernangriber kunne drage nytte af fejlen, ved omhyggeligt at fabrikere en sekvens af forespørgselsheadere til at forårsage en segmenteringsfejl eller til at tvinge ap_find_token() til at returnere en ukorrekt værdi.

• CVE-2017-7679

  ChenQin og Hanno Boeck rapporterede at mod_mime kunne læse en byte forbi slutningen af en buffer, når der blev sendt en ondsindet Content-Type-svarheader.

I den gamle stabile distribution (jessie), er disse problemer rettet i version 2.4.10-10+deb8u9. Den gamle stabile distribution (jessie) er ikke påvirket af CVE-2017-7659.

I den stabile distribution (stretch), er disse problemer rettet i version 2.4.25-3+deb9u1.

I den ustabile distribution (sid), er disse problemer rettet i version 2.4.25-4.

Vi anbefaler at du opgraderer dine apache2-pakker.