L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base de données de vigilance et des outils pour y remédier.

Vulnérabilité de Lighttpd : corruption des données de mod_fastcgi

Synthèse de la vulnérabilité 

Un attaquant peut employer un entête HTTP très long afin que le module mod_fastcgi de Lighttpd corrompre ses données.
Systèmes impactés : Debian, Fedora, lighttpd, NLD, OES, openSUSE, SLES, Unix (plateforme) ~ non exhaustif.
Gravité de cette alerte : 3/4.
Date de création : 13/09/2007.
Références de cette alerte : CERTA-2002-AVI-162, CVE-2007-4727, DSA-1362-2, FEDORA-2007-2132, SUSE-SR:2007:020, VIGILANCE-VUL-7169.

Description de la vulnérabilité 

Le programme lighttpd est un serveur web. Son module mod_fastcgi implémente le protocole FastCGI.

Une application FastCGI communique avec le serveur web :
 - les entêtes HTTP et les variables correspondant à la requête de l'utilisateur sont envoyées par le serveur web vers l'application
 - la page générée et les erreurs sont envoyées par l'application vers le serveur web
Ces échanges utilisent un protocole binaire composé de paquets :
 - 1 octet : version du protocole FastCGI
 - 1 octet : type de paquet
 - 2 octets : identifiant de la requête
 - 2 octets : taille des données
 - N octets : données

Le module mod_fastcgi ne vérifie pas si la taille des données dépasse 64ko (2 octets). Un attaquant peut donc envoyer un entête HTTP très long afin de perturber le protocole. Les données dépassant la taille modulo 64k sont interprétées comme des paquets suivants.

Un attaquant peut ainsi injecter des paquets FastCGI, afin par exemple de redéfinir la variable SCRIPT_FILENAME, si PHP est employé avec FastCGI. Si la variable SCRIPT_FILENAME indique un fichier comme /etc/passwd, son contenu est alors affiché. De même, en chargeant le fichier de log de Apache, où une commande a été préalablement injectée, un attaquant peut faire exécuter du code PHP.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Cette faille cybersécurité concerne les logiciels ou systèmes comme Debian, Fedora, lighttpd, NLD, OES, openSUSE, SLES, Unix (plateforme) ~ non exhaustif.

Notre équipe Vigil@nce a déterminé que la gravité de cette annonce sécurité est important.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de client internet.

Un démonstrateur ou un outil d'attaque est disponible, donc vos équipes doivent traiter cette alerte. Un attaquant avec un niveau de compétence technicien peut exploiter cette annonce cyber-sécurité.

Solutions pour cette menace 

Lighttpd : version 1.4.18.
La version 1.4.18 est corrigée :
  http://www.lighttpd.net/

Debian : nouveaux paquetages lighttpd (08/10/2007).
De nouveaux paquetages sont disponibles :
Debian GNU/Linux 4.0 alias etch
amd64 architecture (AMD x86_64 (AMD64))
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-magnet_1.4.13-4etch4_amd64.deb
    Size/MD5 checksum: 64016 eb011dc4ccd17d1894faa08871aa62d6
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd_1.4.13-4etch4_amd64.deb
    Size/MD5 checksum: 297074 f5003c131e1fd7a277ae003c429baa10
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-mysql-vhost_1.4.13-4etch4_amd64.deb
    Size/MD5 checksum: 59410 01be5c483651d0fac93a2d68a71cd2c4
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-cml_1.4.13-4etch4_amd64.deb
    Size/MD5 checksum: 64360 1d712d6a59dfb479f3ec55e4bc68d7c2
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-webdav_1.4.13-4etch4_amd64.deb
    Size/MD5 checksum: 70276 babe9aed7e17f4bfea149f5caf07055c
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-trigger-b4-dl_1.4.13-4etch4_amd64.deb
    Size/MD5 checksum: 61180 fee215a88ad56aa4c70178d9a15c2ba4
i386 architecture (Intel ia32)
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-trigger-b4-dl_1.4.13-4etch4_i386.deb
    Size/MD5 checksum: 60422 4385f4062a56f93d2b43c5d8dc5e1801
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-magnet_1.4.13-4etch4_i386.deb
    Size/MD5 checksum: 63154 61b71c28b9f409b54267ece899d7186b
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-webdav_1.4.13-4etch4_i386.deb
    Size/MD5 checksum: 70446 bd9446d7cc7bebcb82179a4977f340a1
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd_1.4.13-4etch4_i386.deb
    Size/MD5 checksum: 288830 4b56001c6caff859ec7a488b5ee04cdb
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-mysql-vhost_1.4.13-4etch4_i386.deb
    Size/MD5 checksum: 58750 20896c54601d55747aebc3026071ee44
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-cml_1.4.13-4etch4_i386.deb
    Size/MD5 checksum: 63354 d051b8711b74fd1e0d62d7fa09314dc4
ia64 architecture (Intel ia64)
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-cml_1.4.13-4etch4_ia64.deb
    Size/MD5 checksum: 67238 998a3f058f3f29c39c14184af18ab205
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-mysql-vhost_1.4.13-4etch4_ia64.deb
    Size/MD5 checksum: 60918 ada59b0c2899a525f1eaccb669844eeb
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd_1.4.13-4etch4_ia64.deb
    Size/MD5 checksum: 403236 4da29c552376f3797ab610d4b2a426c3
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-magnet_1.4.13-4etch4_ia64.deb
    Size/MD5 checksum: 67094 61186f635ba15d848ebb96fbddfc0613
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-trigger-b4-dl_1.4.13-4etch4_ia64.deb
    Size/MD5 checksum: 62794 e485c4e54eb1655d13966a3189188177
  http://security.debian.org/pool/updates/main/l/lighttpd/lighttpd-mod-webdav_1.4.13-4etch4_ia64.deb
    Size/MD5 checksum: 76802 1ad8da15de1b11eb9d59e2f442ed1b31

Fedora 7 : nouveaux paquetages lighttpd.
De nouveaux paquetages sont disponibles :
10a186bdb8c9a47f16c708d63d51f20efc5e4b42 lighttpd-fastcgi-1.4.18-1.fc7.ppc64.rpm
c60e37fa4b3a42d6da0116714955d401097b9340 lighttpd-1.4.18-1.fc7.ppc64.rpm
bd673b2a76dc9d5f4cae227be3675e2f07bd6a8f lighttpd-mod_mysql_vhost-1.4.18-1.fc7.ppc64.rpm
e84db23894b037196eec0c0b6abdb04e11925725 lighttpd-debuginfo-1.4.18-1.fc7.ppc64.rpm
890545f7dce17ccea1444fe2b33fcb6dadde9d1a lighttpd-debuginfo-1.4.18-1.fc7.i386.rpm
6e2e3d3e32c39d64556b920341b2ab25a57824ba lighttpd-fastcgi-1.4.18-1.fc7.i386.rpm
fc7b7a1449bb4e5dd7b6b6fda323b92bb602c25f lighttpd-mod_mysql_vhost-1.4.18-1.fc7.i386.rpm
5d470de19a7bee52b5238e26b0fd452b1c424fc8 lighttpd-1.4.18-1.fc7.i386.rpm
388073708e0ed17551cc01e7f34abaa66ab5f091 lighttpd-fastcgi-1.4.18-1.fc7.x86_64.rpm
af1f66dd36b1f0b3f7bb6121ea46347ff93ea8c7 lighttpd-debuginfo-1.4.18-1.fc7.x86_64.rpm
45ff6e353b45ebac9deb710a54f27314c94b8533 lighttpd-1.4.18-1.fc7.x86_64.rpm
807db4d7f0b2521d8f19f915d56ae4ae7b9f66dd lighttpd-mod_mysql_vhost-1.4.18-1.fc7.x86_64.rpm
f9fbf72140a0dcb2a3a2a3f1f10f81ad094a1394 lighttpd-debuginfo-1.4.18-1.fc7.ppc.rpm
c698a9db52d4dabaebe1013d54edb2ac5b608e07 lighttpd-fastcgi-1.4.18-1.fc7.ppc.rpm
50089c0688928391bdf6d714b0c61b5cb692398c lighttpd-1.4.18-1.fc7.ppc.rpm
f51a6530a0329cedaef42b49e9cac606142caa47 lighttpd-mod_mysql_vhost-1.4.18-1.fc7.ppc.rpm
f8d88f6c1a04ff4044f1e379d2cf854c17290176 lighttpd-1.4.18-1.fc7.src.rpm

SUSE : nouveaux paquetages TK, openssl, hugin, lighttpd, novell-groupwise-gwclient, sylpheed-claws.
De nouveaux paquetages sont disponibles via FTP ou YaST.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques 

Vigil@nce fournit des bulletins de vulnérabilités informatiques. Chaque administrateur peut personnaliser la liste des produits pour lesquels il souhaite recevoir des alertes de vulnérabilités.