Denegación de servicio y cross site scripting en Apache HTTP Server

Apache ha reconocido varios problemas de seguridad que podrían permitir a un atacante provocar ataques de cross site scripting o denegación de servicio en Apache HTTP Server 1.x y 2.x.

* El primer error se debe a un fallo en el módulo mod_status del servidor HTTP Apache. En sitios donde la página de estado del servidor es públicamente accesible y la opción ExtendedStatus está activada, un atacante puede aprovechar este fallo para realizar un ataque de cross-site scripting.

* La segunda vulnerabilidad se debe a un error en el módulo mod_cache. Un atacante que aprovechara este fallo en sitios donde la cache estuviera activada, podría conseguir que los procesos hijos de Apache dejaran de funcionar. Esto resultaría en una denegación de servicio si se estuviera utilizando un módulo multiproceso basado en threads.

Los problemas han sido solucionados en las versiones 1.3.38-dev, 2.0.60-dev y 2.2.5-dev disponibles desde http://httpd.apache.org.

Laboratorio Hispasec
laboratorio@hispasec.com

Más información:

Apache Security Update Fixes Denial of Service and Cross Site Scripting Issues
http://www.frsirt.com/english/advisories/2007/2727