Aviso de seguridad de Debian

DSA-131-1 apache -- denegación de servicio remota / explotación

Fecha del informe:

19 de jun de 2002

Paquetes afectados:

Vulnerable:

Sí

Referencias a bases de datos de seguridad:

En la base de datos de Bugtraq (en SecurityFocus): Id. en BugTraq 5033.
En el diccionario CVE de Mitre: CVE-2002-0392.
Notas y avisos de incidentes y vulnerabilidades en CERT: CA-2002-17, VU#944335.

Información adicional:

Mark Litchfield encontró un ataque de denegación de servicio en el servidor web Apache. Mientras investigaba el problema, la Apache Software Foundation descubrió que el código para manejar peticiones no válidas que usaba una cantidad variable de datos de usuario también podía ejecutar código arbitrario en arquitecturas de 64 bits.

Esto ha sido reparado en la versión 1.3.9-14.1 del paquete apache de Debian, así como en las versiones principales 1.3.16 y 2.0.37. Le recomendamos encarecidamente que actualice su paquete apache inmediatamente.

La actualización del paquete no reinicia el servidor apache automáticamente, por tanto tendrá que hacerlo manualmente. Asegúrese de que su configuración es correcta («apachectl configtest» lo comprobará por usted) y luego reinícielo usando «/etc/init.d/apache restart»

Arreglado en:

Debian GNU/Linux 2.2 (potato)

Fuentes:: http://security.debian.org/dists/stable/updates/main/source/apache_1.3.9-14.1.diff.gz; http://security.debian.org/dists/stable/updates/main/source/apache_1.3.9-14.1.dsc; http://security.debian.org/dists/stable/updates/main/source/apache_1.3.9.orig.tar.gz
Componentes independientes de la arquitectura:: http://security.debian.org/dists/stable/updates/main/binary-all/apache-doc_1.3.9-14.1_all.deb
Alpha:: http://security.debian.org/dists/stable/updates/main/binary-alpha/apache-common_1.3.9-14.1_alpha.deb; http://security.debian.org/dists/stable/updates/main/binary-alpha/apache-dev_1.3.9-14.1_alpha.deb; http://security.debian.org/dists/stable/updates/main/binary-alpha/apache_1.3.9-14.1_alpha.deb
ARM:: http://security.debian.org/dists/stable/updates/main/binary-arm/apache-common_1.3.9-14.1_arm.deb; http://security.debian.org/dists/stable/updates/main/binary-arm/apache-dev_1.3.9-14.1_arm.deb; http://security.debian.org/dists/stable/updates/main/binary-arm/apache_1.3.9-14.1_arm.deb
Intel IA-32:: http://security.debian.org/dists/stable/updates/main/binary-i386/apache-common_1.3.9-14.1_i386.deb; http://security.debian.org/dists/stable/updates/main/binary-i386/apache-dev_1.3.9-14.1_i386.deb; http://security.debian.org/dists/stable/updates/main/binary-i386/apache_1.3.9-14.1_i386.deb
Motorola 680x0:: http://security.debian.org/dists/stable/updates/main/binary-m68k/apache-common_1.3.9-14.1_m68k.deb; http://security.debian.org/dists/stable/updates/main/binary-m68k/apache-dev_1.3.9-14.1_m68k.deb; http://security.debian.org/dists/stable/updates/main/binary-m68k/apache_1.3.9-14.1_m68k.deb
PowerPC:: http://security.debian.org/dists/stable/updates/main/binary-powerpc/apache-common_1.3.9-14.1_powerpc.deb; http://security.debian.org/dists/stable/updates/main/binary-powerpc/apache-dev_1.3.9-14.1_powerpc.deb; http://security.debian.org/dists/stable/updates/main/binary-powerpc/apache_1.3.9-14.1_powerpc.deb
Sun Sparc:: http://security.debian.org/dists/stable/updates/main/binary-sparc/apache-common_1.3.9-14.1_sparc.deb; http://security.debian.org/dists/stable/updates/main/binary-sparc/apache-dev_1.3.9-14.1_sparc.deb; http://security.debian.org/dists/stable/updates/main/binary-sparc/apache_1.3.9-14.1_sparc.deb

Las sumas MD5 de los ficheros que se listan están disponibles en el aviso original.