Actu
Vigil@nce - Apache APR, httpd : déni de service via apr_fnmatch
mai 2011 par Vigil@nce
Ce bulletin a été rédigé par Vigil@nce : http://vigilance.fr/
SYNTHÈSE DE LA VULNÉRABILITÉ
Un attaquant peut mener un déni de service dans les applications
utilisant apr_fnmatch de APR. Lorsque mod_autoindex est activé
dans Apache httpd, un attaquant distant peut employer une requête
spéciale afin de créer un déni de service.
Gravité : 2/4
Date création : 12/05/2011
Dates révisions : 12/05/2011, 13/05/2011
PRODUITS CONCERNÉS
– Apache httpd
– Debian Linux
– Mandriva Corporate
– Mandriva Enterprise Server
– Mandriva Linux
– Red Hat Enterprise Linux
– Slackware Linux
– Unix - plateforme
DESCRIPTION DE LA VULNÉRABILITÉ
L’APR (Apache Portable Runtime) est une bibliothèque logicielle
pour le serveur web Apache rendant portables certaines
fonctionnalités lorsqu’elles ne sont pas incluses dans le système
d’exploitation.
La fonction apr_fnmatch() qui est définie dans le fichier
"strings/apr_fnmatch.c" de la bibliothèque APR permet de vérifier
si un nom de fichier contient un motif au format shell, comme par
exemple "fichier*.txt". Cette fonction utilise pour cela un
algorithme récursif. Cependant si le motif recherché contient de
nombreux ’*’, la fonction est alors récursivement appelée de
nombreuses fois, ce qui surcharge le processeur, et consomme des
ressources.
Le module mod_autoindex d’Apache httpd génère les pages d’index
des répertoires.
La fonction apr_fnmatch() de la bibliothèque APR est utilisée par
mod_autoindex pour établir un index correspondant à un
modèle/filtre. Cependant lorsqu’un répertoire contenant des noms
de fichiers assez long est indexé par mod_autoindex, la fonction
apr_fnmatch() consomme de nombreuses ressources, ce qui provoque
un déni de service.
Un attaquant peut donc mener un déni de service dans les
applications utilisant apr_fnmatch de APR.
Lorsque mod_autoindex est activé dans Apache httpd, un attaquant
distant peut donc employer une requête spéciale afin de créer un
déni de service.
ACCÈS AU BULLETIN VIGIL@NCE COMPLET
http://vigilance.fr/vulnerabilite/Apache-APR-httpd-deni-de-service-via-apr-fnmatch-10645
