.:: Securnetwork.net Blog – Massimo Rabbi ::.

Sono state segnalate svariate falle di sicurezza in più moduli del noto web server Apache.
Tre moduli in particolare sono vulnerabili ad attacchi di tipo cross-site scripting, mentre un quarto da un attacco DoS.
I moduli interessati includono mod_status, mod_proxy_ftp, mod_proxy_balancer, mod_autoindex (solo in Apache 1.3.x) and mod_imagemap.
Nel caso del modulo mod_status, il bug puo’ essere sfruttato a scopo di phishing (previa injection di un URL particolare) o per eseguire codice Javascript sul browser dell’utente.
Il problema è dovuto ad un filtering non corretto sugli argomenti o sugli URLs passati.
Le versioni di Apache interessate sono 1.3.x, 2.0.x e 2.2.x.

Nessuno di questi bugs è stato classificato come critico e sono già pronte le versioni 2.2.7-dev, 1.3.40-dev e 2.0.62-dev di Apache che correggono le falle in questione.
Mandriva e Redhat nel frattempo hanno già rilasciato versioni patchate dei moduli Apache.

Riferimenti:
* Cross-site scripting vulnerabilities in multiple Apache modules, by Heise Security
* Apache2 CSRF, XSS, Memory Corruption and Denial of Service Vulnerability, security advisory from SecurityReason
* Apache (mod_proxy_ftp) Undefined Charset UTF-7 XSS Vulnerability, security advisory from SecurityReason
* Apache (mod_status) Refresh Header – Open Redirector (XSS), security advisory from SecurityReason
* httpd security update, security advisory from Red Hat
* Updated apache 2.2.x packages fix multiple vulnerabilities, security advisory from Mandriva