CERTA-2006-AVI-015
Vulnerability from certfr_avis
Une vulnérabilité dans le module pour Apache auth_ldap permet à un utilisateur mal intentionné d'éxecuter du code arbitraire à distance.
Description
auth_ldap permet la mise en œuvre dans Apache de l'authentification à partir d'un annuaire LDAP (Lightweight Directory Access). Un manque de contrôle du nom d'utilisateur (username) fourni lors de l'authentification permet à un utilisateur distant mal intentionné d'exécuter du code arbitraire par le biais d'un nom d'utilisateur malicieusement constitué.
Solution
La version 1.6.1 de auth_ldap corrige le problème :
http://www.rudedog.org/auth_ldap/auth_ldap-1.6.1.tar.gz
auth_ldap versions 1.6.0 et antérieures.
Impacted products
| Vendor | Product | Description |
|---|
References
| Title | Publication Time | Tags | |
|---|---|---|---|
|
|
|||
{
"$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
"affected_systems": [],
"affected_systems_content": "\u003cTT\u003eauth_ldap\u003c/TT\u003e versions 1.6.0 et ant\u00e9rieures.",
"content": "## Description\n\nauth_ldap permet la mise en \u0153uvre dans Apache de l\u0027authentification \u00e0\npartir d\u0027un annuaire LDAP (Lightweight Directory Access). Un manque de\ncontr\u00f4le du nom d\u0027utilisateur (username) fourni lors de\nl\u0027authentification permet \u00e0 un utilisateur distant mal intentionn\u00e9\nd\u0027ex\u00e9cuter du code arbitraire par le biais d\u0027un nom d\u0027utilisateur\nmalicieusement constitu\u00e9.\n\n## Solution\n\nLa version 1.6.1 de auth_ldap corrige le probl\u00e8me :\n\n http://www.rudedog.org/auth_ldap/auth_ldap-1.6.1.tar.gz\n",
"cves": [
{
"name": "CVE-2006-0150",
"url": "https://www.cve.org/CVERecord?id=CVE-2006-0150"
}
],
"initial_release_date": "2006-01-10T00:00:00",
"last_revision_date": "2006-01-23T00:00:00",
"links": [
{
"title": "Bulletin de s\u00e9curit\u00e9 Debian DSA-952 du 23 janvier 2006 :",
"url": "http://www.debian.org/security/2006/dsa-952"
},
{
"title": "Liste des changements apport\u00e9s dans la version 1.6.1 :",
"url": "http://www.rudedog.org/auth_ldap/Changes.html"
},
{
"title": "Bulletin de s\u00e9curit\u00e9 Mandriva MDKSA-2006:017 du 19 janvier 2006 :",
"url": "http://wwwnew.mandriva.com/security/advisories,name=MDKSA-2006:017"
},
{
"title": "Bulletin de s\u00e9curit\u00e9 RedHat RHSA-2006:0179 du 10 janvier 2006",
"url": "http://rhn.redhat.com/errata/RHSA-2006-0179.html"
},
{
"title": "Site de l\u0027\u00e9diteur :",
"url": "http://www.rudedog.org/auth_ldap"
}
],
"reference": "CERTA-2006-AVI-015",
"revisions": [
{
"description": "version initiale.",
"revision_date": "2006-01-10T00:00:00.000000"
},
{
"description": "ajout de la r\u00e9f\u00e9rence au bulletin de s\u00e9curit\u00e9 Mandriva et \u00e0 la r\u00e9f\u00e9rence CVE.",
"revision_date": "2006-01-20T00:00:00.000000"
},
{
"description": "ajout des r\u00e9f\u00e9rences aux bulletins de s\u00e9curit\u00e9 RedHat et Debian.",
"revision_date": "2006-01-23T00:00:00.000000"
}
],
"risks": [
{
"description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
}
],
"summary": "Une vuln\u00e9rabilit\u00e9 dans le module pour Apache auth_ldap permet \u00e0 un\nutilisateur mal intentionn\u00e9 d\u0027\u00e9xecuter du code arbitraire \u00e0 distance.\n",
"title": "Vuln\u00e9rabilit\u00e9 dans auth_ldap pour Apache",
"vendor_advisories": [
{
"published_at": null,
"title": "Liste des changements apport\u00e9s dans la version 1.6.1 du 09 janvier 2006",
"url": null
}
]
}
Loading…
Loading…
Sightings
| Author | Source | Type | Date |
|---|
Nomenclature
- Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
- Confirmed: The vulnerability is confirmed from an analyst perspective.
- Published Proof of Concept: A public proof of concept is available for this vulnerability.
- Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
- Patched: This vulnerability was successfully patched by the user reporting the sighting.
- Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
- Not confirmed: The user expresses doubt about the veracity of the vulnerability.
- Not patched: This vulnerability was not successfully patched by the user reporting the sighting.
Loading…
Loading…