Conditions d'utilisation de ce document :	http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document :	http://www.certa.ssi.gouv.fr/site/CERTA-2011-AVI-490

Gestion du document

Tableau 1: Gestion du document

Référence	CERTA-2011-AVI-490-002
Titre	Vulnérabilité dans Apache httpd
Date de la première version	01 septembre 2011
Date de la dernière version	21 novembre 2011
Source(s)	Bulletin de sécurité Apache du 30 août 2011
Pièce(s) jointe(s)	Aucune

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Déni de service à distance.

2 Systèmes affectés

Apache httpd versions 2.2.19 et antérieures;
Apache httpd versions 2.0.64 et antérieures;
Apache httpd versions 1.3.42 et antérieures.

3 Résumé

Une vulnérabilité présente dans Apache httpd permet à un utilisateur distant malintentionné de provoquer un déni de service.

4 Description

Une vulnérabilité relative à la gestion de certains paramètres d'en-tête HTTP est présente dans le serveur web Apache httpd. Elle permet à un utilisateur distant malintentionné de provoquer une consommation mémoire excessive du serveur au moyen d'une requête HTTP spécialement conçue.

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

Bulletin de sécurité Apache du 30 août 2011 :

http://httpd.apache.org/security/vulnerabilities_22.html#2.2.20

Bulletin de sécurité Cisco cisco-sa-20110830-apache du 09 septembre 2011 :
```
http://www.cisco.com/warp/public/707/cisco-sa-20110830-apache.shtml
```
Bulletin de sécurité Debian DSA 2298 du 29 août 2011 :
```
http://www.debian.org/security/2011/dsa-2298
```

Bulletin de sécurité Hitachi HS11-019 du 05 septembre 2011 :

http://www.hitachi.co.jp/Prod/comp/soft1/security/info/vuls/HS11-019/index.html

Bulletin de sécurité HP c02997184 du 08 septembre 2011 :

http://h20000.www2.hp.com/bizsupport/TechSupport/Document.jsp?objectID=c02997184

Bulletin de sécurité IBM ISS Xforce 69396 du 23 août 2011 :
```
http://xforce.iss.net/xforce/xfdb/69396
```

Bulletin de sécurité Mandriva MDVSA-2011:130 du 04 septembre 2011 :

http://www.mandriva.com/fr/support/security/advisories/?dis=2010&name=MDVSA-2011:130

Bulletin de sécurité Novell (Suse) CVE-2011-3192 du 06 septembre 2011 :
```
http://support.novell.com/security/cve/CVE-2011-3192.html
```
Bulletins de sécurité RedHat RHSA-2011:1245-1 31 août 2011 :
```
http://rhn.redhat.com/errata/RHSA-2011-1245.html
```
Bulletin de sécurité Ubuntu USN-1199-1 du 01 septembre 2011 :
```
http://www.ubuntulinux.org/usn/usn-1199-1
```

Alerte de sécurité Oracle du 15 septembre 2011 :

http://www.oracle.com/technetwork/topics/security/alert-cve-2011-3192-485304.html

Référence CVE CVE-2011-3192 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3192

Gestion détaillée du document

01 septembre 2011: version initiale.
13 septembre 2011: ajout des références aux bulletins Cisco, Hitachi, HP, Mandriva, Novell (Suse), RedHat et Ubuntu.
21 novembre 2011: ajout de la référence au bulletin Oracle.

CERTA
2012-01-04

Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information

webmestre

Dernière mise à jour : le 25/05/2012

Centre d'Expertise Gouvernemental de Réponse et de Traitement des Attaques informatiques

Centre d'Expertise Gouvernemental de
Réponse et de Traitement des Attaques informatiques