S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 01 mars 2005 No CERTA-2005-AVI-072-003

Affaire suivie par :

CERTA

Objet : Vulnérabilité du module Apache mod_python

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Atteinte à la confidentialité des données.

2 Systèmes affectés

• Module mod_python versions 3.1.3 et antérieures ;
• module mod_python versions 2.7.10 et antérieures.

3 Résumé

Une vulnérabilité du module Apache mod_python permet à un utilisateur distant d'accéder à des informations confidentielles.

4 Description

Le module Apache mod_python est un interpréteur du langage Python pour les serveurs HTTP Apache.

Une vulnérabilité a été découverte dans le module mod_python. Elle permet à un utilisateur distant mal intentionné de récupérer, par le biais d'une URL malicieusement construite, des informations qui ne devraient pas être visibles.

5 Solution

6 Documentation

• Site Internet du module mod_python :

  http://www.modpython.org
  

• Bulletin de sécurité Gentoo GLSA 200502-14 du 13 février 2005 :

  http://www.gentoo.org/security/en/glsa/glsa-200502-14.xml
  

• Bulletin de sécurité RedHat RHSA-2005:104-03 du 10 février 2005 :

  http://rhn.redhat.com/errata/RHSA-2005-104.html
  

• Bulletin de sécurité RedHat RHSA-2005:100-04 du 15 février 2005 :

  http://rhn.redhat.com/errata/RHSA-2005-100.html
  

• Bulletin de sécurité FreeBSD sur mod_pyton du 13 février 2003 :

  http://www.vuxml.org/freebsd/
  

• Bulletin de sécurité Debian DSA-689 du 23 février 2005 :

  http://www.debian.org/security/2005/dsa-689
  

• Mise à jour de sécurité du paquetage NetBSD ap-python :

  ftp://ftp.netbsd.org/pub/NetBSD/packages/pkgsrc/www/ap-python/README.html
  

• Référence CVE CAN-2005-088 :

  http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2005-0088
  

Gestion détaillée du document

14 février 2005

version initiale.

17 février 2005

ajout de la référence au bulletin de sécurité RedHat.

24 février 2005

ajout de la référence au bulletin de sécurité Debian.

01 mars 2005

ajout de la référence au bulletin de sécurité NetBSD.