DFN-CERT-2012-0743 Schwachstelle im Apache HTTP-Server 2.2 [Unix][Solaris]

- 18. April 2012

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Solaris 11 11/11 SRU 6.6

Betroffene Plattformen:

Solaris 11

Eine Schwachstelle im Apache HTTP-Server 2.2 ermöglicht einem entfernten
Angreifer, die Anwendung zum Absturz zu bringen (Denial-of-Service).

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

https://login.oracle.com/mysso/signon.jsp

CVE-2012-0021: Denial-of-Service Schwachstelle im Apache HTTP-Server

In der Funktion log_cookie() in der Datei ‘mod_log_config.c’ in dem Modul
‘mod_log_config’ des Apache HTTP-Servers 2.2.17 bis 2.2.21 ist eine
Schwachstelle enthalten. Wenn Apache so konfiguriert ist, dass
‘Multi-Processing Modules’ (MPMs) in mehreren Threads ausgeführt werden,
werden ‘\%{}C’ Format-Strings nicht korrekt behandelt. Dies ermöglicht einem
entfernten Angreifer, die Anwendung zum Absturz zu bringen
(Denial-of-Service) mittels eines Cookies, der weder einen ‘name’ noch einen
‘value’ enthält.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-0743/

Das Hersteller Advisory:
https://blogs.oracle.com/sunsecurity/entry/cve_2012_0021_improper_input

Schwachstelle CVE-2012-0021:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-0021