S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

Paris, le 26 mars 2010
N^o CERTA-2010-AVI-112-001

Affaire suivie par :

CERTA

AVIS DU CERTA

Objet : Multiples vulnérabilités du serveur HTTP Apache

Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2010-AVI-112

Gestion du document

Tableau 1: Gestion du document

Référence	CERTA-2010-AVI-112-001
Titre	Multiples vulnérabilités du serveur HTTP Apache
Date de la première version	08 mars 2010
Date de la dernière version	26 mars 2010
Source(s)	Mise en ligne de la version 2.2.15 du serveur HTTP Apache
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance ;
déni de service à distance.

2 Systèmes affectés

Version du serveur HTTP Apache 2.2.0 à 2.2.14.

3 Résumé

Des vulnérabilités multiples dans les versions du serveur Apache de la branche 2.2.0, antérieures à la version 2.2.15 permettent à un utilisateur malveillant d'exécuter du code à distance, ou de provoquer un déni de service.

4 Description

Plusieurs vulnérabilités dans les modules mod_isapi, mod_headers et mod_proxy_ajp permettent à un utilisateur malveillant de provoquer un déni de service ou d'exécuter du code à distance.

5 Solution

Installer la version 2.2.15 d'Apache HTTP serveur. La version 2.2.15 intégre la version à jour de la librairie OpenSSL 0.9.8m et corrige ainsi la vulnérabilité CVE-2009-3555.

6 Documentation

Bulletin de sécurité RedHat RHSA-2010:0168-1 du 25 mars 2010 :
```
http://rhn.redhat.com/errata/RHSA-2010-0168.html
```
Bulletin de sécurité Ubuntu USN-908-1 du 10 mars 2010 :
```
http://www.ubuntu.com/usn/USN-908-1
```

Référence CVE CVE-2010-0425 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0425

Référence CVE CVE-2010-0434 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0434

Référence CVE CVE-2010-0408 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-0408

Référence CVE CVE-2009-3555 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-3555

Annonce de la version 2.2.15 du serveur APACHE :

http://www.apache.org/dist/httpd/Announcement2.2.html

Vulnérabilités du serveur HTTP APACHE 2.2 :

http://httpd.apache.org/security/vulnerabilities_22.html

Gestion détaillée du document

08 mars 2010: version initiale.
26 mars 2010: ajout des références aux bulletins de sécurité RedHat et Ubuntu.

CERTA
2012-01-04