Se publican nuevas versiones del servidor Apache

La fundación Apache ha publicado recientemente actualizaciones de su
servidor Apache, tanto en la rama 2.0.* como en la 1.3.*.

Apache es el servidor web más popular del mundo, disponible en código
fuente y para infinidad de plataformas, incluyendo UNIX, Microsoft
Windows, OS/2 y Novell NetWare. En Octubre de 2003, Apache constituía
más del 66% de los servidores web de Internet.

Las versiones no actualizadas de Apache contienen las siguientes
vulnerabilidades:

* Un atacante puede ocasionar la caída del servidor Apache y, bajo
ciertas circunstancias, la ejecución de código arbitrario con sus
privilegios. Para que el ataque sea factible, el fichero de
configuración Apache debe contener expresiones regulares con más de
nueve «capturas». El problema reside en varios desbordamientos de búfer
en los módulos «mod_alias» y «mod_rewrite». Esta vulnerabilidad afecta a
las versiones de Apache previas a 1.3.29 y 2.0.48.

* Bajo ciertas circunstancias, es posible que Apache envíe los datos de
un proceso CGI a un cliente equivocado. Esta vulnerabilidad afecta a las
versiones de Apache previas a la 2.0.48.

La recomendación de Hispasec Sistemas es actualizar sus instalaciones
Apache a 1.3.29 o 2.0.48. Aparte de las vulnerabilidades citadas, las
nuevas versiones de Apache solucionan numerosos «bugs» menores.

Más información:

Apache HTTP Server 1.3.29 Released
http://apache.slashdot.org/article.pl?sid=03/10/29/0720209

Changes with Apache 1.3.29
http://www.apache.org/dist/httpd/CHANGES_1.3

Apache 2.0.48 Released
http://apache.slashdot.org/article.pl?sid=03/11/01/2225252

Apache HTTP Server 2.0.48 Released
http://www.apache.org/dist/httpd/Announcement2.html

Apache
http://httpd.apache.org/

Multiple stack-based buffer overflows in (1) mod_alias and (2)
mod_rewrite for Apache before 1.3.29 allow attackers to can create
configuration files to cause a denial of service (crash) or execute
arbitrary code via a regular expression with more than 9 captures.
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0542

mod_cgid in Apache before 2.0.48, when using a threaded MPM, does not
properly handle CGI redirect paths, which could cause Apache to send the
output of a CGI program to the wrong client.
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0789