DSA-2298-1 apache2 -- отказ в обслуживании

Критичная (7.8)

(AV:N/AC:L/Au:N/C:N/I:N/A:C)

Debian

apache2 (any) apache2.2-bin (any) apache2.2-common (any) apache2-dbg (any) apache2-doc (any) apache2-mpm-event (any) apache2-mpm-itk (any) apache2-mpm-prefork (any) apache2-mpm-worker (any) apache2-prefork-dev (any) apache2-src (any) apache2-suexec (any) apache2-suexec-custom (any) apache2-threaded-dev (any) apache2-utils (any)

В Apache, HTTPD веб-сервере, были обнаружены две проблемы:

CVE-2011-3192
В способе обработки HTTPD-сервером Apache множественных перекрывающихся
областей значений была обнаружена уязвимость. Эта уязвимость
позволяет злоумышленнику вызывать ситуацию, в которой Apache HTTPD использует чрезмерный объём
памяти, вызывая отказ в обслуживании.
CVE-2010-1452
В mod_dav была обнаружена уязвимость, позволяющая злоумышленнику
вызывать аварийную остановку службы, что приводит к отказу в обслуживании. Эта проблема
касается только предыдущего стабильного выпуска, Debian 5.0 lenny.

В предыдущем стабильном выпуске (lenny) эти проблемы были исправлены
в версии 2.2.9-10+lenny11.
В стабильном выпуске (squeeze) эта проблема была исправлена в
версии 2.2.16-6+squeeze3.
В тестируемом выпуске (wheezy) эта проблема была исправлена в
версии 2.2.19-3.
В нестабильном выпуске (sid) эта проблема была исправлена в
версии 2.2.19-3.
Рекомендуется обновить пакеты apache2.
Кроме того, данное обновление содержит обновлённые пакеты apache2-mpm-itk, которые
были заново скомпилированы с поддержкой обновлённых пакетов apache2. Номер новой
версии для предыдущего стабильного выпуска — 2.2.6-02-1+lenny6. В стабильном
выпуске пакет apache2-mpm-itk имеет тот же номер версии, что и пакет
apache2.

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 6:
noarch:
apache2 - 2.2.16-6+squeeze2
apache2-dbg - 2.2.16-6+squeeze2
apache2-doc - 2.2.16-6+squeeze2
apache2-mpm-event - 2.2.16-6+squeeze2
apache2-mpm-itk - 2.2.16-6+squeeze2
apache2-mpm-prefork - 2.2.16-6+squeeze2
apache2-mpm-worker - 2.2.16-6+squeeze2
apache2-prefork-dev - 2.2.16-6+squeeze2
apache2-suexec - 2.2.16-6+squeeze2
apache2-suexec-custom - 2.2.16-6+squeeze2
apache2-threaded-dev - 2.2.16-6+squeeze2
apache2-utils - 2.2.16-6+squeeze2
apache2.2-bin - 2.2.16-6+squeeze2
apache2.2-common - 2.2.16-6+squeeze2
Debian GNU/Linux 5:
noarch:
apache2 - 2.2.9-10+lenny10
apache2-dbg - 2.2.9-10+lenny10
apache2-doc - 2.2.9-10+lenny10
apache2-mpm-event - 2.2.9-10+lenny10
apache2-mpm-prefork - 2.2.9-10+lenny10
apache2-mpm-worker - 2.2.9-10+lenny10
apache2-prefork-dev - 2.2.9-10+lenny10
apache2-src - 2.2.9-10+lenny10
apache2-suexec - 2.2.9-10+lenny10
apache2-suexec-custom - 2.2.9-10+lenny10
apache2-threaded-dev - 2.2.9-10+lenny10
apache2-utils - 2.2.9-10+lenny10
apache2.2-common - 2.2.9-10+lenny10

http://www.debian.org/security/dsa-2298/

Источник: CVE
Наименование: CVE-2010-1452
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-1452

Источник: CVE
Наименование: CVE-2011-3192
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-3192