Отказ в обслуживании в mod_proxy_ftp в Apache

Дата публикации:
05.09.2009
Дата изменения:
10.12.2009
Всего просмотров:
1558
Опасность:
Низкая
Наличие исправления:
Да
Количество уязвимостей:
1
CVSSv2 рейтинг:
CVE ID:
CVE-2009-2699
CVE-2009-3094
Вектор эксплуатации:
Удаленная
Воздействие:
Отказ в обслуживании
CWE ID:
Нет данных
Наличие эксплоита:
Нет данных
Уязвимые продукты:
Apache 2.0.x
Apache 2.2.x
Уязвимые версии: Apache 2.0.63 и 2.2.13, возможно другие версии.

Описание:
Обнаруженные уязвимости позволяют удаленному пользователю произвести DoS атаку.

1. Уязвимость существует из-за ошибки в модуле mod_proxy_ftp при обработке ответов, полученных от FTP серверов. Удаленный пользователь может с помощью специально сформированного EPSV ответа вызвать разыменование нулевого указателя и аварийно завершить работу дочернего процесса Apache. Для успешной эксплуатации уязвимости должен использоваться потоковый Multi-Processing Module и модуль mod_proxy_ftp должен быть включен.

2. Уязвимость существует из-за ошибки в библиотеке APR-util, которая может вызвать зависание prefork и MPM событиях на Solaris. Подробное описание уязвимости:
www.securitylab.ru/vulnerability/383845.php

Уязвимости подвержены версии 2.2.x до 2.2.14.

URL производителя: www.apache.org

Решение: Установите последнюю версию 2.2.14 с сайта производителя. Уязвимости в версии 2.0.x не устранены в настоящее время.

Журнал изменений:

07.10.2009
Изменена секция «Решение», добавлено уязвимость #2.
10.12.2009
Незначительные исправления.

Ссылки: http://www.intevydis.com/blog/?p=59
http://httpd.apache.org/security/vulnerabilities_22.html

или введите имя

CAPTCHA