Última Modificació del Document 11 de juliol de 2002

 Actualització 11-07-02 - 22:30

Està circulant un cuc, extremadament complex, que ataca als servidors web basats en Apache, a la plataforma FreeBSD, que encara no han estat actualitzats.

Butlletí amb els detalls:
http://www.quands.cat/unaperdia/arxiu/20020710.html
 

 Actualització 19-06-02 - 01:15

Ja estan disponibles les noves versions d'Apache:

• Apache 1.3.26
  http://www.apache.org/dist/httpd/apache_1.3.26.tar.gz
   
• Apache 2.0.39
  http://www.apache.org/dist/httpd/httpd-2.0.39.tar.gz

 Actualització 18-06-02 - 10:00

El CERT ha publicat un avís:

     CERT Adivsory CA-2002-17: Apache Web Server Chunk Handling
     Vulnerability

L'avís també inclou informació relativa a altres productes basats en Apache que també són vulnerables a aquest problema:

• IBM Web Server per AIX, powered by Apache. Es confirma que es vulnerable. IBM està treballant en l'actualització que estarà disponible a
  http://www-1.ibm.com/servers/aix/products/aixos/
  linux/download.html

 Versió original de l'avís

Les versions d'Apache fins a la 1.3.24 (inclosa) i fins a la 2.0.36 (inclosa) tenen un problema a les funcions encarregades del processament de les peticions errònies rebudes amb codificació trossejada (“chunked encoding”).

Quan un atacant remot envia una sèrie de peticions codificades d'una forma especial, la vulnerabilitat pot provocar la finalització del procés fill que està processant la petició. D'aquesta forma, l'atacant pot aprofitar aquesta vulnerabilitat per provocar una condició de denegació de servei.

La vulnerabilitat, a més, pot provocar una situació de desbordament de memòria intermèdia. Les diferents versions d'Apache es comportaran de forma diferent:

Versió 1.x

Es produeix un desbordament de memòria intermèdia. L'atacant podrà aprofitar-se d'aquest desbordament a algunes versions:

• Sistemes Unix de 32-bit. El desbordament provoca una violació de segmentació i el procés fill finalitza. L'atacant no pot executar codi al servidor.
   
• Sistemes Unix de 64.-bit. El desbordament por arribar a ser controlat per l'atacant per tal de provocar l'execució de codi arbitrari al servidor.
   
• Windows. La versió 1.3 executant-se a Windows pot permetre l'execució de codi al servidor.

Versió 2.x

Les versions 2.x d'Apache detecten de forma correcta la situació d'error i no permeten l'execució de codi al servidor.

Aquesta vulnerabilitat ha estat inicialment reportada per un avís d'ISS, que ha facilitat un pegat per al codi font d'Apache. No obstant, l'avís d'Apache indica que el pegat proposat per ISS no soluciona la vulnerabilitat.

Es d'esperar que en les properes hores estaran disponibles versions actualitzades d'Apache 1.3 i 2.0 que eliminin aquesta vulnerabilitat. Cal recordar que molts altres productes (IBM WebSphere, Oracle 9ias...) inclouen servidors web basats en Apache que són també vulnerables a aquest problema.

Referències

Apache Security Advisory (June 17, 2002)
http://httpd.apache.org/info/security_bulletin_20020617.txt

Remote Compromise Vulnerability in Apache HTTP Server
http://bvlive01.iss.net/issEn/delivery/xforce/alertdetail.jsp?oid=20502