Debian-Sicherheitsankündigung

DSA-132-1 apache-ssl -- Entferntes DoS / Ausnutzbarkeit

Datum des Berichts:
19. Jun 2002
Betroffene Pakete:
apache-ssl
Verwundbar:
Ja
Sicherheitsdatenbanken-Referenzen:
In der Bugtraq-Datenbank (bei SecurityFocus): BugTraq ID 5033.
In Mitres CVE-Verzeichnis: CVE-2002-0392.
CERTs Verwundbarkeiten, Hinweise und Ereignis-Notizen: CA-2002-17, VU#944335.
Weitere Informationen:

Mark Litchfield hat einen Denial-of-Service Angriff im Apache Web-Server entdeckt. Während des Erforschens des Problems entdeckte die Apache Software Foundation, dass der Code, der ungültige Anfragen behandelt, die Klump-Kodierung verwenden, es ebenfalls erlauben könnte, willkürliche Code-Erweiterungen auf 64-bit Architekturen auszuführen.

Dies wurde in Version 1.3.9.13-4.1 des Debian apache-ssl Pakets behoben und wir empfehlen Ihnen dringend, dass Sie Ihr apache-ssl Paket unverzüglich aktualisieren.

Eine Aktualisierung für die bald freigegebene Debian GNU/Linux 3.0 (Woody) Distribution ist im Augenblick noch nicht verfügbar.

Weitere Informationen: CVE-2002-0392, VU#944335.

Behoben in:

Debian GNU/Linux 2.2 (potato)

Quellcode:
http://security.debian.org/dists/stable/updates/main/source/apache-ssl_1.3.9.13-4.1.diff.gz
http://security.debian.org/dists/stable/updates/main/source/apache-ssl_1.3.9.13-4.1.dsc
http://security.debian.org/dists/stable/updates/main/source/apache-ssl_1.3.9.13.orig.tar.gz
Alpha:
http://security.debian.org/dists/stable/updates/main/binary-alpha/apache-ssl_1.3.9.13-4.1_alpha.deb
ARM:
http://security.debian.org/dists/stable/updates/main/binary-arm/apache-ssl_1.3.9.13-4.1_arm.deb
Intel IA-32:
http://security.debian.org/dists/stable/updates/main/binary-i386/apache-ssl_1.3.9.13-4.1_i386.deb
Motorola 680x0:
http://security.debian.org/dists/stable/updates/main/binary-m68k/apache-ssl_1.3.9.13-4.1_m68k.deb
PowerPC:
http://security.debian.org/dists/stable/updates/main/binary-powerpc/apache-ssl_1.3.9.13-4.1_powerpc.deb
Sun Sparc:
http://security.debian.org/dists/stable/updates/main/binary-sparc/apache-ssl_1.3.9.13-4.1_sparc.deb

MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.