Actualización Apache 1.3.* y mod_ssl

as versiones no actualizadas de la serie 1.3 de Apache permiten que un atacante remoto pueda matar procesos Apache y, bajo ciertas circunstancias, ejecutar código arbitrario en el servidor.

El problema radica en un desbordamiento de búfer en el módulo "proxy_util.c", en concreto en la gestión de valores negativos en la cabecera HTTP "Content-Length". Todas las instalaciones Apache 1.3.* que utilicen el módulo "mod_proxy" son susceptibles de ataque, si acceden a servidores no confiables.

Se recomienda a todos los administradores de servidores Apache 1.3.* que actualicen con urgencia a la versión 1.3.32.

Por otra parte, se ha publicado también la versión 2.8.21 del módulo "mod_ssl", que soluciona diversos problemas de seguridad y es la versión a emplear con Apache 1.3.32. El módulo "mod_ssl" amplía las capacidades del servidor Apache 1.3.* tradicional para soportar también conexiones SSL/TLS.


Más Información:

httpd.apache.org/
The Apache HTTP Server Project

Heap-based buffer overflow in proxy_util.c for mod_proxy in Apache 1.3.25 to 1.3.31 allows remote attackers to cause a denial of service (process crash) and possibly execute arbitrary code via a negative Content-Length HTTP header field, which causes a large amount of data to be copied.
cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0492

Apache HTTP Server 1.3.32 Released
www.apache.org/dist/httpd/Announcement.html

Changes with Apache 1.3.32
www.apache.org/dist/httpd/CHANGES_1.3

MOD_SSL
www.modssl.org/