S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 03 avril 2008 No CERTA-2008-AVI-177

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans lighttpd

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Déni de service à distance.

2 Systèmes affectés

lighttpd 1.x.

3 Résumé

Une vulnérabilité affectant lighttpd permet à une personne malveillante d'effectuer un déni de service à distance.

4 Description

Une vulnérabilité dans la gestion des erreurs OpenSSL permet à un individu malveillant de fermer des sessions SSL en cours de lighttpd.

5 Solution

Se référer à l'alerte de sécurité lighttpd #285 pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Alerte de sécurité lighttpd #285 du 22 septembre 2005 :

  http://trac.lighttpd.net/trac/ticket/285
  

  http://trac.lighttpd.net/security/lighttpd_sa_2008_04.txt
  

• Référence CVE CVE-2008-1531 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-1531
  

Gestion détaillée du document

03 avril 2008

version initiale.