Avis du CERT-FR
Objet : Multiples vulnérabilités de APR-util
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Atteinte à la confidentialité des données
- Déni de service à distance
Systèmes affectés
- toutes les versions de APR-util antérieures à 1.3.5 : CVE-2009-0023 et CVE-2009-1956 ;
- toutes les versions de APR-util antérieures à 1.3.7 : CVE-2009-1955.
Résumé
Plusieurs vulnérabilités présentes dans APR-util permettent à un utilisateur distant de provoquer un déni de service ou de porter atteinte à la confidentialité de certaines données.
Description
APR-util (Apache Portable Runtime) est une bibliothèque de fonctions constituant un socle commun et multi-platforme d'outils sur lesquels s'appuie le serveur Web Apache pour fonctionner. Trois vulnérabilités sont présentes dans cette bibliothèque :
- La première (CVE-2009-1955) est relative à la manipulation des fichiers au format XML et permet à un utilisateur distant de provoquer un déni de service par le biais d'un fichier XML particulier ;
- la seconde (CVE-2009-0023) concerne la fonction apr_strmatch_precompile() et permet à un utilisateur distant de provoquer un déni de service ;
- la dernière (CVE-2009-1956) est présente dans la fonction apr_brigade_vprintf() et permet à un utilisateur distant de provoquer un déni de service ou d'obtenir un contenu partiel de la mémoire.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Debian DSA 1812 du 04 juin 2009 :
http://www.debian.org/security/2009/dsa-1812 -
Bulletin de sécurité Mandriva MDVSA-2009:131 du 06 juin 2009 :
http://www.mandriva.com/archives/security/advisories -
Bulletin de sécurité Ubuntu USN-786-1 du 10 juin 2009 :
http://www.ubuntulinux.org/usn/usn-786-1 -
liste des changements apportés aux versions 1.3.5 et 1.3.7 de APR-util :
http://www.apache.org/dist/apr/CHANGES-APR-UTIL-1.3 -
Référence CVE CVE-2009-0023
https://www.cve.org/CVERecord?id=CVE-2009-0023 -
Référence CVE CVE-2009-1955
https://www.cve.org/CVERecord?id=CVE-2009-1955 -
Référence CVE CVE-2009-1956
https://www.cve.org/CVERecord?id=CVE-2009-1956
Gestion détaillée du document
| Date | Description |
|---|---|
| 19 juin 2009 | version initiale. |