—–BEGIN PGP SIGNED MESSAGE—–
Hash: SHA1
Liebe Kolleginnen und Kollegen,
soeben erreichte uns nachfolgendes Fedora Security Advisory. Wir geben
diese Informationen unveraendert an Sie weiter.
CVE-2009-3095 – Schwachstelle in mod_proxy_ftp erlaubt das Umgehen von
Beschraenkungen
Durch Einbetten von FTP Kommandos in den HTTP Authorization Header
lassen sich die Zugriffsbeschraenkungen des Apache mod_proxy_ftp Moduls
umgehen. Ein entfernter Angreifer kann diese Schwachstelle dazu
ausnutzen, beliebige FTP Kommandos an einen durch mod_proxy_ftp
geschuetzten FTP-Server zu senden.
CVE-2009-3555 – Designschwaeche im SSLv3/TSLv1 Protokoll bei der
Renegotiation
Bei der Neuaushandlung von Parametern in einer SSL oder TLS Session
(Renegotiation) wird das Client Zertifikat geprueft. Allerdings ist es
aufgrund einer Schwachstelle im TLS-Protokoll unter Umstaenden moeglich,
dass vorher beliebige Daten in die TLS-Session eingeschleust werden. Dies
ermoeglicht Man-in-the-Middle Angriffe auf die TLS-Session. Beim HTTPS
Protokoll kann ein Angreifer so den HTTP-Request des Benutzers faelschen.
Dies kann ein Angreifer dazu ausnutzen, um an vertrauliche Daten zu
gelangen, Operationen mit den Rechten des Benutzers auf dem Server
auszufuehren, dem Benutzer falsche Informationen anzuzeigen.
Bitte beachten Sie: Es handelt sich um eine Schwaeche im SSL bzw. TLS
Protokoll selbst, die derzeit nicht vollstaendig behebbar ist. Als
Workaround wird die Regnegotiation abgeschaltet, was im Einzelfall
negative Auswirkungen auf die Funktionsfaehigkeit der geschuetzten
Anwendung haben kann.
Diese Schwachstelle wird bereits aktiv von Angreifern ausgenutzt.
CVE-2009-3094 – Null Pointer Referenzierung in ap_proxy_ftp_handler()
In der Funktion ap_proxy_ftp_handler() aus dem Apache mod_proxy_ftp
Modul laesst sich die Referenzierung eines Null Pointers ausloesen, wenn
ein FTP Server eine entsprechend aufgebaute Antwort auf ein FTP EPSV
Kommando sendet. Entfernte Angreifer koennen diese Schwachstelle dazu
ausnutzen, den Apache Worker Prozess der die Verbindung bearbeitet,
zum Absturz zu bringen (Denial of Service).
Betroffen sind die folgenden Software Pakete und Plattformen:
Paket httpd
Fedora 11
Vom Hersteller werden ueberarbeitete Pakete zur Verfuegung gestellt.
Hersteller Advisory:
http://lists.fedoraproject.org/pipermail/package-announce/
(c) der deutschen Zusammenfassung bei DFN-CERT Services GmbH; die
Verbreitung, auch auszugsweise, ist nur unter Hinweis auf den Urheber,
DFN-CERT Services GmbH, und nur zu nicht kommerziellen Zwecken
gestattet.
Mit freundlichen Gruessen,
Detlev O. Matthies
– —
Detlev O. Matthies, M.Sc. (Incident Response Team)
DFN-CERT Services GmbH, https://www.dfn-cert.de, Phone +49 40 808077-590
Sitz / Register: Hamburg, AG Hamburg, HRB 88805, Ust-IdNr.: DE 232129737
Sachsenstrasse 5, 20097 Hamburg/Germany, CEO: Dr. Klaus-Peter Kossakowski
Automatische Warnmeldungen https://www.cert.dfn.de/autowarn
– ——————————————————————————–
Fedora Update Notification
FEDORA-2009-12747
2009-12-04 22:43:13
– ——————————————————————————–
Name : httpd
Product : Fedora 11
Version : 2.2.14
Release : 1.fc11
URL : http://httpd.apache.org/
Summary : Apache HTTP Server
Description :
The Apache HTTP Server is a powerful, efficient, and extensible
web server.
– ——————————————————————————–
Update Information:
This update contains the latest stable release of Apache httpd. Three security
fixes are included, along with several minor bug fixes. A flaw was found in
the way the TLS/SSL (Transport Layer Security/Secure Sockets Layer) protocols
handle session renegotiation. A man-in-the-middle attacker could use this flaw
to prefix arbitrary plain text to a client’s session (for example, an HTTPS
connection to a website). This could force the server to process an attacker’s
request as if authenticated using the victim’s credentials. This update
partially mitigates this flaw for SSL sessions to HTTP servers using mod_ssl by
rejecting client-requested renegotiation. (CVE-2009-3555) Note: This update
does not fully resolve the issue for HTTPS servers. An attack is still possible
in configurations that require a server-initiated renegotiation A NULL
pointer dereference flaw was found in the Apache mod_proxy_ftp module. A
malicious FTP server to which requests are being proxied could use this flaw to
crash an httpd child process via a malformed reply to the EPSV or PASV commands,
resulting in a limited denial of service. (CVE-2009-3094) A second flaw was
found in the Apache mod_proxy_ftp module. In a reverse proxy configuration, a
remote attacker could use this flaw to bypass intended access restrictions by
creating a carefully-crafted HTTP Authorization header, allowing the attacker to
send arbitrary commands to the FTP server. (CVE-2009-3095) See the upstream
changes file for further information:
http://www.apache.org/dist/httpd/CHANGES_2.2.14
– ——————————————————————————–
ChangeLog:
* Thu Dec 3 2009 Joe Orton
– – update to 2.2.14
– – relax permissions on /var/run/httpd (#495780)
– – Requires(pre): httpd in mod_ssl subpackage (#543275)
– – add partial security fix for CVE-2009-3555 (#533125)
– – add condrestart in posttrans (#491567)
* Tue Aug 18 2009 Joe Orton
– – use “delaycompress” in logrotate config (#506381)
* Tue Aug 18 2009 Joe Orton
– – update to 2.2.13
– ——————————————————————————–
References:
[ 1 ] Bug #521619 – CVE-2009-3094 httpd: NULL pointer defer in mod_proxy_ftp caused by crafted EPSV and PASV reply
https://bugzilla.redhat.com/show_bug.cgi?id=521619
[ 2 ] Bug #522209 – CVE-2009-3095 httpd: mod_proxy_ftp FTP command injection via Authorization HTTP header
https://bugzilla.redhat.com/show_bug.cgi?id=522209
– ——————————————————————————–
This update can be installed with the “yum” update program. Use
su -c ‘yum update httpd’ at the command line.
For more information, refer to “Managing Software with yum”,
available at http://docs.fedoraproject.org/yum/.
All packages are signed with the Fedora Project GPG key. More details on the
GPG keys used by the Fedora Project can be found at
https://fedoraproject.org/keys
– ——————————————————————————–
—–BEGIN PGP SIGNATURE—–
Version: GnuPG v1.4.2 (GNU/Linux)
iD8DBQFLi62zWmhIvjFb90URArQnAJ9bsg7UreyMTS0kKuoBze49PkL5EACfTlk9
bYTlXcpVoUV4D2XAof/gKJs=
=Yc78
—–END PGP SIGNATURE—–
