Deux vulnérabilités dans un module Apache utilisé par les distributions Linux Ubuntu 18.10 et Ubuntu 18.04 LTS

Ubuntu a publié un bulletin de sécurité à propos de deux vulnérabilités portant sur le module libapache2-mod-auth-mellon d'Apache utilisé par les versions Ubuntu 18.10 et Ubuntu 18.04 LTS. Parmi les vulnérabilités corrigées, l'une est considérée comme importante et l'autre comme moyenne.

Le risque majeur repose sur la confidentialité des données. Néanmoins, nous constatons que la disponibilité et l'intégrité des données sont également impactées. En effet, l'exploitation de cette dernière, bien que complexe à mettre en œuvre, peut être réalisée à distance, ne nécessite ni privilège, ni interaction avec un utilisateur.

Détails Techniques

La vulnérabilité la plus importante est référencée comme suit :

• CVE-2019-3878 [CVSS v3 8.1] : Une vulnérabilité a été trouvée dans le module mod_auth_mellon sur les versions antérieures à la  v0.14.2. Si Apache est configuré en tant que reverse proxy et que le module mod_auth_mellon est configuré pour n'autoriser l'accès qu'aux utilisateurs authentifiés (avec la directive "require valid-user"), l'ajout d'en-têtes HTTP spécifiques, qui sont normalement utilisés pour démarrer le SAML ECP (sans navigateur) peut être utilisé pour contourner l'authentification. Il en résulte que le module mod_auth_mellon traite incorrectement certaines requêtes. Un attaquant pourrait éventuellement utiliser ce problème pour accéder à des informations sensibles.