Debian セキュリティ勧告
DSA-187-1 apache -- 複数の脆弱性
- 報告日時:
- 2002-11-04
- 影響を受けるパッケージ:
- apache
- 危険性:
- あり
- 参考セキュリティデータベース:
- (SecurityFocus の) Bugtraq データベース: BugTraq ID 5847, BugTraq ID 5884, BugTraq ID 5887, BugTraq ID 2182, BugTraq ID 5995.
Mitre の CVE 辞書: CVE-2002-0839, CVE-2002-0840, CVE-2002-0843, CVE-2001-0131, CVE-2002-1233. - 詳細:
-
David Wagner さんと iDEFENSE および Apache HTTP サーバプロジェクトによると、リモートから悪用可能な脆弱性が複数、 広く利用されているウェブサーバである Apache パッケージに見つかりました。 この脆弱性は攻撃者に、サーバに対するサービス拒否やクロスサイトスクリプティング攻撃の実行を許す可能性があります。 The Common Vulnerabilities and Exposures (CVE) project は以下の脆弱性を認識しています:
- CAN-2002-0839: System V 共有メモリベースのスコアボードを使用したプラットフォームに脆弱性が存在します。 この脆弱性は攻撃者に Apache のユーザ ID の下でコード実行を許し、Apache 共有メモリスコアボードフォーマットを悪用して任意のプロセスに root でシグナルを送ったり、あるいはローカルサービス拒否攻撃を引き起こします。
- CAN-2002-0840: Apache はワイルドカード DNS の問い合わせを許可しているドメインでホストされているウェブサーバでのデフォルトの 404 ページにあるクロスサイトスクリプティング脆弱性の影響を受けやすくなっています。
- CAN-2002-0843: ユーティリティ ApacheBench (ab) はいくらかオーバーフローが可能で、悪意のあるサーバにより悪用可能です。
- CAN-2002-1233: htpasswd と htdigest プログラムの競合状態により、 悪意のあるローカルユーザは htpasswd (あるいは htdigest それぞれの) プログラムの実行ユーザでパスワードファイルの内容の読み込み、さらには変更、 あるいは簡単にファイルの作成や上書きができるようになります。
- CAN-2001-0131: Apache の 2.0a9 や 1.3.14 その他の htpasswd および
htdigest はローカルユーザに、
シンボリックリンク攻撃を経由した任意のファイルの上書きを許します。
これは CAN-2002-1233 と同一の脆弱性で、potato ではすでに修正されていましたが後になくなってしまい、 上流には適用されませんでした。
- CAN 割り当て無し: 複数のバッファオーバフローが ApacheBench (ab) ユーティリティに見つかりました。 長大な文字列を返すリモートサーバにより悪用可能です。
この問題は現在の安定版 (stable) ディストリビューション (woody) ではバージョン 1.3.26-0woody3、旧安定版 (old stable) ディストリビューション (potato)では 1.3.9-14.3 で修正されています。不安定版 (unstable) ディストリビューション (sid) の修正版パッケージは、近く提供の予定です。
直ちに Apache パッケージをアップグレードすることを勧めます。
- 修正:
-
Debian GNU/Linux 2.2 (potato)
- ソース:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3.diff.gz
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3.dsc
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9.orig.tar.gz
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3.dsc
- アーキテクチャ非依存コンポーネント:
- http://security.debian.org/pool/updates/main/a/apache/apache-doc_1.3.9-14.3_all.deb
- Alpha:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3_alpha.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_alpha.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.9-14.3_alpha.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_alpha.deb
- ARM:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3_arm.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_arm.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.9-14.3_arm.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_arm.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3_i386.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_i386.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.9-14.3_i386.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_i386.deb
- Motorola 680x0:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3_m68k.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_m68k.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.9-14.3_m68k.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_m68k.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3_powerpc.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_powerpc.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.9-14.3_powerpc.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_powerpc.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.9-14.3_sparc.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_sparc.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.9-14.3_sparc.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.9-14.3_sparc.deb
Debian GNU/Linux 3.0 (woody)
- ソース:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3.diff.gz
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3.dsc
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26.orig.tar.gz
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3.dsc
- アーキテクチャ非依存コンポーネント:
- http://security.debian.org/pool/updates/main/a/apache/apache-doc_1.3.26-0woody3_all.deb
- Alpha:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_alpha.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_alpha.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_alpha.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_alpha.deb
- ARM:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_arm.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_arm.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_arm.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_arm.deb
- Intel IA-32:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_i386.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_i386.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_i386.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_i386.deb
- Intel IA-64:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_ia64.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_ia64.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_ia64.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_ia64.deb
- HP Precision:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_hppa.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_hppa.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_hppa.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_hppa.deb
- Motorola 680x0:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_m68k.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_m68k.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_m68k.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_m68k.deb
- Big endian MIPS:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_mips.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_mips.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_mips.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_mips.deb
- Little endian MIPS:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_mipsel.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_mipsel.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_mipsel.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_mipsel.deb
- PowerPC:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_powerpc.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_powerpc.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_powerpc.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_powerpc.deb
- IBM S/390:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_s390.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_s390.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_s390.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_s390.deb
- Sun Sparc:
- http://security.debian.org/pool/updates/main/a/apache/apache_1.3.26-0woody3_sparc.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_sparc.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-dev_1.3.26-0woody3_sparc.deb
- http://security.debian.org/pool/updates/main/a/apache/apache-common_1.3.26-0woody3_sparc.deb
一覧にあるファイルの MD5 チェックサムは勧告の原文にあります。