| Recherche |
|
| Catégories |
•
•
•
•
|
| Webmestres |
|
|
| Dernières
versions |
|
|
| Derniers modules |
|
|
| Statistiques |
|
|
| Documentation |
|
|
| Liens |
| Apache
PHP/MySQL
|
|
 Vulnérabilité dans Apache
Posté le 23/09/2001 @ 17:18:38
Source : Security Focus
Un trou de sécurité a été détecté dans la version d'Apache livrée avec Linux Red Hat 7.0 (et peut-être d'autres distributions). En effet, une erreur de configuration permet à un internaute de déterminer la liste des utilisateurs déclarés sur le système.
Lorsqu'un internaute fait une requête pour obtenir la page d'accueil d'un éventuel utilisateur (http://www.mondomaine.com/~utilisateur/ par exemple), le serveur Apache peut fournir 3 réponses différentes :
Si l'utilisateur spécifié existe, et qu'il a créé une page dans un répertoire public_html (paramètre par défaut) de son répertoire personnel, alors le serveur répond avec un code HTTP 200 (la requête est correcte) et renvoie la page d'accueil de cet utilisateur.
Autre cas de figure, l'utilisateur spécifié existe, mais n'a pas de page d'accueil, le serveur répond avec un code HTTP 403 et le message "Vous ne pouvez pas accéder au répertoire /~utilisateur sur ce serveur".
Mais si l'utilisateur spécifié n'existe pas sur le système faisant tourner Apache, le code HTTP renvoyé est cette fois 404 (page introuvable) et le message "l'URL spécifiée /~utilisateur n'a pu être trouvée sur ce serveur".
Du fait de cette différence dans les codes HTTP renvoyés, un internaute mal intentionné peut en quelque sorte lister les utilisateurs créés sur le serveur Apache, et donc exploiter cette information lors d'une tentative d'intrusion.
Solution n°1 :
Désactiver la gestion des répertoires utilisateurs au niveau d'Apache :
% echo 'UserDir Disabled' >> /var/www/conf/httpd.conf
Solution n°2 :
Spécifier dans le fichier httpd.conf une page à afficher lors d'une erreur 403 ou 404 :
% echo 'ErrorDocument 404 http://www.mondomaine.com/erreur.html' >> /var/www/conf/httpd.conf
% echo 'ErrorDocument 403 http://www.mondomaine.com/erreur.html' >> /var/www/conf/httpd.conf
% apachectl restart
|
|
| Posts récents des forums |
| |
• dans
• dans
• dans
• dans
• dans
• dans
• dans
• dans
• dans
• dans
|
|
| |
|
|
