Avis du CERT-FR
Objet : Multiples vulnérabilités dans Lighttpd
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Contournement de la politique de sécurité
- Déni de service
Systèmes affectés
Toutes les versions de Lighttpd antérieures à la version 1.4.20.
Résumé
Plusieurs vulnérabilités dans Lighttpd peuvent être exploitées par une personne malveillante afin de provoquer un déni de service, de contourner la politique de sécurité ou d'accéder à des informations sensibles.
Description
Plusieurs vulnérabilités affectant Lighttpd ont été découvertes :
- une faiblesse dans la gestion de la mémoire par la fonction http_request_parse() permet à une personne malintentionnée d'obtenir un accès total à la mémoire ;
- une erreur dans la gestion des noms de fichier permet à une personne malintentionnée de poter atteinte à la confidentialité des données ;
- une erreur due au non décodage des requêtes avant le contrôle avec les règles de réécriture et de redirection permet à une personne malveillante de contourner ces dernières.
Solution
Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletins de sécurité de Lighttpd :
http://trac.lighttpd.net/security/lighttpd_sa_2008_07.txt -
Bulletins de sécurité de Lighttpd :
http://trac.lighttpd.net/security/lighttpd_sa_2008_06.txt -
Bulletins de sécurité de Lighttpd :
http://trac.lighttpd.net/security/lighttpd_sa_2008_05.txt -
Référence CVE CVE-2008-4298
https://www.cve.org/CVERecord?id=CVE-2008-4298 -
Référence CVE CVE-2008-4359
https://www.cve.org/CVERecord?id=CVE-2008-4359 -
Référence CVE CVE-2008-4360
https://www.cve.org/CVERecord?id=CVE-2008-4360
Gestion détaillée du document
| Date | Description |
|---|---|
| 30 septembre 2008 | version initiale. |
| 08 octobre 2008 | ajout de vulnérabilités et des références CVE. |