C'est vrai que les risque de sécurités sont assez limité ici.
Pourtant, le bug concernant la mémoire partagée (les scoreboards, là ou résident les infos relatives au thread et aux processus enfants) n'est pas si anodin que ça. Il est en effet possible d'envoyer le signal USR1 à n'importe quel processus (en mettant son PID dans la table, en gros) et ce sans limitation (avec les privilèges de root). Par défaut, ce signal termine le processus.
Pour acéder à cette mémoire, il faut avoir les privilèges de l'user correspondant à l'httpd. Il se trouve que les scripts web (php, par exemple) son normalement executés avec ces privilèges. N'importe qui ayant un compte web peut donc potentiellement fermer un service arbitraire (un IDS par exemple ?), en utilisant system() ou autre.
De meme, des bugs dans les scripts peuvent etre exploités par un quidam pour obtenir ces (maigres) privilèges.
Enfin, il arrive que l'user associé à httpd soit 'nobody'. Il peut exister de nombreuses autres manières d'executer du code à distance avec ces privilèges.
Mise à jour conseillée, donc, mais pas si urgente pour un serveur simple.
[^] # màj mineure ?
Posté par dvrasp . En réponse à la dépêche Apache 1.3.27 (upgradez!). Évalué à 2.
Pourtant, le bug concernant la mémoire partagée (les scoreboards, là ou résident les infos relatives au thread et aux processus enfants) n'est pas si anodin que ça. Il est en effet possible d'envoyer le signal USR1 à n'importe quel processus (en mettant son PID dans la table, en gros) et ce sans limitation (avec les privilèges de root). Par défaut, ce signal termine le processus.
Pour acéder à cette mémoire, il faut avoir les privilèges de l'user correspondant à l'httpd. Il se trouve que les scripts web (php, par exemple) son normalement executés avec ces privilèges. N'importe qui ayant un compte web peut donc potentiellement fermer un service arbitraire (un IDS par exemple ?), en utilisant system() ou autre.
De meme, des bugs dans les scripts peuvent etre exploités par un quidam pour obtenir ces (maigres) privilèges.
Enfin, il arrive que l'user associé à httpd soit 'nobody'. Il peut exister de nombreuses autres manières d'executer du code à distance avec ces privilèges.
Mise à jour conseillée, donc, mais pas si urgente pour un serveur simple.