annonce de vulnérabilité CVE-2010-0408 CVE-2010-0425

Apache httpd : dénis de service de modules

Synthèse de la vulnérabilité

Un attaquant peut provoquer un déni de service dans les modules mod_proxy_ajp et mod_isapi de Apache httpd.

Gravité : 2/4. Date création : 03/03/2010. Date révision : 08/03/2010.

Description de la vulnérabilité

Deux dénis de service ont été annoncés dans Apache httpd. Le module mod_proxy_ajp est utilisé avec Tomcat. Lorsque le client utilise l'entête Content-Length, mais n'envoie pas de corps, la fonction ap_proxy_ajp_request() retourne l'erreur HTTP_INTERNAL_SERVER_ERROR, au lieu de HTTP_BAD_REQUEST. Un timeout est alors utilisé, ce qui cause un déni de service. [grav:2/4; BID-38491, CVE-2010-0408, >] Le module mod_isapi est utilisé sous Windows. Cependant, en interrompant une requête, ce module est déchargé trop tôt, ce qui provoque l'utilisation d'un pointeur invalide, et stoppe le service. [grav:2/4; CVE-2010-0425, SOS-10-002, VU#280613, >]

Bulletin Vigil@nce complet

Accès au bulletin Vigil@nce complet

Caractéristiques

Titre : Apache httpd : dénis de service de modules. Mots clés : 280613 Apache Content-Length HTTP_BAD_REQUEST HTTP_INTERNAL_SERVER_ERROR SOS-10-002 Tomcat Windows ap_proxy_ajp_request dénis httpd mod_isapi mod_proxy_ajp modules service. Références : BID-38491, BID-38494, c02160663, CVE-2010-0408, CVE-2010-0425, DSA-2035-1, FEDORA-2010-6055, FEDORA-2010-6131, HPSBUX02531, MDVSA-2010:053, RHSA-2010:0168-01, RHSA-2010:0396-01, SOS-10-002, SSA:2010-067-01, SSRT100108, SUSE-SR:2010:010, VIGILANCE-VUL-9487, VU#280613. Pointé dans : VIGILANCE-VUL-9552, VIGILANCE-VUL-9625, VIGILANCE-VUL-9654.

Sources d'information

Publications et annonces

Solutions pour cette vulnérabilité

Patch correctif ou contre-mesure

Compléments

Vulnérabilité : CVE-2010-0408 Le module mod_proxy_ajp est utilisé avec Tomcat. Lorsque le client utilise l'entête Content-Length, mais n'envoie pas de corps, la fonction ap_proxy_ajp_request() retourne l'erreur HTTP_INTERNAL_SERVER_ERROR, au lieu de HTTP_BAD_REQUEST. Un timeout est alors utilisé, ce qui cause un déni de service. Gravité : 2/4. Références : BID-38491, CVE-2010-0408. Publications et annonces

Vulnérabilité : CVE-2010-0425 Le module mod_isapi est utilisé sous Windows. Cependant, en interrompant une requête, ce module est déchargé trop tôt, ce qui provoque l'utilisation d'un pointeur invalide, et stoppe le service. Gravité : 2/4. Références : CVE-2010-0425, SOS-10-002, VU#280613. Publications et annonces

Attaque Outil d'attaque ou exploit 0day

Service de veille sur les vulnérabilités informatiques

Le service de veille sur les vulnérabilités informatiques Vigil@nce alerte vos équipes des failles et des menaces qui concernent votre système d'information.
La base de vulnérabilités Vigil@nce contient plusieurs milliers de failles.
Ce bulletin a été rédigé par l'équipe Vigil@nce, qui surveille les vulnérabilités informatiques de systèmes et d'applications.
Vulnérabilité informatique d'applications