CH azonosító
CH-6325Angol cím
Apache HTTP Server "httpOnly" Cookie Disclosure and Denial of ServiceFelfedezés dátuma
2012.01.26.Súlyosság
KözepesÉrintett rendszerek
Apache HTTP serverApache Software Foundation
Érintett verziók
Apache HTTP server 2.2.x
Összefoglaló
Az Apache HTTP Server két sérülékenységét jelentették, melyeket a támadók kihasználhatnak érzékeny információk felfedésére és szolgáltatás megtagadás (DoS – Denial of Service) okozására.
Leírás
- A “%{cookiename}C” log formátum string kezelésekor hiba lép fel threaded MPM használata esetén. Ez kihasználható rendszer összeomlás okozására egy speciálisan erre a célra készített cookie elküldésével.
Ezt a sérülékenységet a 2.2.17 – 2.2.21. verziókban jelentették. - Az alapértelmezett 400-as hibaüzenet hibája, ha nincs egyedi ErrorDocument beállítva, kihasználható a “httpOnly” cookie-k felfedésére.
Ezt a sérülékenységet a 2.2.0, 2.2.2 – 2.2.6, 2.2.8 – 2.2.21 verziókban jelentették.
Megoldás
Javítva a fejlesztői verzióban.
Támadás típusa
Information disclosure (Információ/adat szivárgás)Input manipulation (Bemenet módosítás)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Gyártói referencia: httpd.apache.org
Gyártói referencia: mail-archives.apache.org
SECUNIA 47779
CVE-2012-0021 - NVD CVE-2012-0021
CVE-2012-0053 - NVD CVE-2012-0053