GLSA 200407-18: mod_ssl: Format string vulnerability

http://security.gentoo.org/

Опасность:	средняя
Заголовок:	mod_ssl: Format string vulnerability
Дата:	22.07.2004
Ошибки:	#57379
ID:	200407-18

Сводка

A bug in mod_ssl may allow a remote attacker to execute arbitrary code when Apache is configured to use mod_ssl and mod_proxy.

Назначение

mod_ssl provides Secure Sockets Layer encryption and authentication to Apache 1.3.

Уязвимые пакеты

Пакет	Уязвимый	Нетронутый	Архитектура(ы)
net-www/mod_ssl	<= 2.8.18	>= 2.8.19	All supported architectures

Описание

A bug in ssl_engine_ext.c makes mod_ssl vulnerable to a ssl_log() related format string vulnerability in the mod_proxy hook functions.

Воздействие

Given the right server configuration, an attacker could execute code as the user running Apache, usually "apache".

Обход

A server should not be vulnerable if it is not using both mod_ssl and mod_proxy. Otherwise there is no workaround other than to disable mod_ssl.

Решение

All mod_ssl users should upgrade to the latest version:

    # emerge sync

    # emerge -pv ">=net-www/mod_ssl-2.8.19"
    # emerge ">=net-www/mod_ssl-2.8.19"

Ссылки

mod_ssl Announcement

Наличие

Этот GLSA и любые обновления для нее доступны для просмотра на сайте Gentoo Security: http://security.gentoo.org/glsa/glsa-200407-18.xml

Опасения?

Безопасность является одной из главных задач Gentoo Linux и первостепенное значение обеспечить конфиденциальность и безопасность машин наших пользователей. Любые соображения безопасности должны быть адресованы security@gentoo.org или в качестве альтернативы, вы можете сообщить об ошибке на https://bugs.gentoo.org.