Avis du CERT-FR
Objet : Multiples vulnérabilités de ModSecurity
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Déni de service à distance
Systèmes affectés
- ModSecurity versions antérieures à 2.5.9.
Résumé
Plusieurs vulnérabilités du module ModSecurity permettent de réaliser un déni de service à distance.
Description
Il existe plusieurs vulnérabilités du module ModSecurity d'Apache :
- la première vulnérabilité est présente dans la gestion des contenus multipartie ;
- la seconde vulnérabilité concerne la gestion des requêtes lorsque la protection contre l'injection de code indirecte des fichiers au format PDF (PDF XSS) est activée.
Un individu malintentionné peut réaliser un déni de service à distance du module ModSecurity, voire même d'Apache, en exploitant l'une de ces vulnérabilités par le biais d'une requête spécifiquement conçue.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Liste des changements apportés à la version 2.5.9 du 11 mars 2009 :
http://sourceforge.net/project/shownotes.php?release_id=667542&group_id=68846
Gestion détaillée du document
| Date | Description |
|---|---|
| 16 mars 2009 | version initiale. |