alerte de vulnérabilité CVE-2009-1891

Apache httpd : déni de service de mod_deflate

Synthèse de la vulnérabilité

Un attaquant peut forcer le module mod_deflate d'Apache httpd à consommer de nombreuses ressources CPU.

Gravité : 3/4. Date création : 09/07/2009.

Description de la vulnérabilité

Le module mod_deflate d'Apache httpd est utilisé pour compresser les flux avec un algorithme de type gzip. Il est par exemple utilisé pour compresser certains types MIME (extrait du fichier de configuration) :   AddOutputFilterByType DEFLATE text/html text/plain text/xml Lorsqu'un client demande un fichier texte, le module du serveur web le compresse, envoie le résultat au client, qui le décompresse. Cependant, si le client interrompt sa session TCP durant la compression, le module continue à compresser le fichier. Le serveur continue alors à consommer des ressources, pour rien. Un attaquant peut donc demander de nombreux fichiers à compresser, afin de forcer le module mod_deflate à consommer des ressources CPU.

Bulletin Vigil@nce complet

Accès au bulletin Vigil@nce complet

Caractéristiques

Titre : Apache httpd : déni de service de mod_deflate. Mots clés : AddOutputFilterByType Apache CPU DEFLATE MIME TCP déni httpd mod_deflate service. Références : 8812, BID-35623, CVE-2009-1891, DSA 1834-1, DSA 1834-2, MDVSA-2009:149, MDVSA-2009:168, MDVSA-2009:323, PK87176, PK88341, PK88342, PK91361, PK99477, PK99478, PK99480, RHSA-2009:1148-01, RHSA-2009:1155-01, RHSA-2009:1156-01, RHSA-2009:1160-01, RHSA-2009:1205-01, RHSA-2009:1580-02, RHSA-2010:0602-02, SSA:2009-214-01, SUSE-SA:2009:050, TLSA-2009-21, TLSA-2009-30, VIGILANCE-VUL-8851.

Sources d'information

Publications et annonces

Solutions pour cette vulnérabilité

Patch correctif ou contre-mesure

Compléments

Attaque Outil d'attaque ou exploit 0day

Service de veille sur les vulnérabilités informatiques

Le service de veille sur les vulnérabilités informatiques Vigil@nce alerte vos équipes des failles et des menaces qui concernent votre système d'information.
La base de vulnérabilités Vigil@nce contient plusieurs milliers de failles.
Ce bulletin a été rédigé par l'équipe Vigil@nce, qui surveille les vulnérabilités informatiques de systèmes et d'applications.
Base de vulnérabilités informatiques