S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 13 mai 2004 No CERTA-2004-AVI-050-002

Affaire suivie par :

CERTA

Objet : Vulnérabilité sur le module mod_python du serveur HTTP Apache

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

2 Systèmes affectés

• Versions mod_python 2.7.x antérieures à la version 2.7.10 ;
• versions mod_python 3.x. antérieures à la version 3.0.4.

3 Résumé

4 Description

Une vulnérabilité sur ce module peut permettre à un utilisateur mal intentionné, via l'envoi d'une requête malicieusement construite, de réaliser un déni de service du serveur HTTP vulnérable.

5 Solution

6 Documentation

• Message sur la liste de diffusion mod_python :

  http://www.modpython.org/pipermail/mod_python/2003-November/014532.html
  

• Avis de sécurité Secunia :

  http://secunia.com/advisories/10325
  

• Référence CVE CAN-2003-0973 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0973
  

• Correctif disponible à l'adresse suivante :

  http://httpd.apache.org/modules/python-download.cgi
  

• Avis de sécurité Redhat :

  http://rhn.redhat.com/errata/RHSA-2004-063.html
  

• Avis de sécurité Debian :

  http://www.debian.org/security/2004/dsa-452
  

• Avis de sécurité FreeBSD du 3 mars 2004 :

  http://www.vuxml.org/freebsd/
  

Gestion détaillée du document

27 février 2004

version initiale.

01 mars 2004

ajout du bulletin de sécurité Debian.

13 mai 2004

ajout de la référence au bulletin de sécurité FreeBSD.