CVE-2016-2145
WysokieStreszczenie
Funkcja am_read_post_data w mod_auth_mellon przed wersją 0.11.1 nie sprawdza, czy funkcja ap_get_client_block zwraca błąd, co umożliwia zdalnym atakującym spowodowanie awarii usługi (błąd segmentacji i awaria procesu) poprzez spreparowane dane POST.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zdalnego wywołania awarii usługi, co może prowadzić do przestojów w działaniu aplikacji i utraty dostępności.
Rekomendacja
Zaleca się aktualizację mod_auth_mellon do wersji 0.11.1 lub nowszej, aby usunąć tę podatność.
Inne podatności w mod_auth_mellon
Zobacz wszystkie- CVE-2016-2146Wysokie
Funkcja am_read_post_data w mod_auth_mellon przed wersją 0.11.1 nie ogranicza ilości odczytywanych danych, co pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez dużą ilość danych POST.
- CVE-2014-8567Wysokie
Moduł mod_auth_mellon w wersjach przed 0.8.1 umożliwia zdalnym atakującym spowodowanie awarii serwera Apache HTTP poprzez spreparowane żądanie wylogowania, które wywołuje odczyt niezainicjowanych danych.
Oryginalny opis (angielski, źródło NVD)
The am_read_post_data function in mod_auth_mellon before 0.11.1 does not check if the ap_get_client_block function returns an error, which allows remote attackers to cause a denial of service (segmentation fault and process crash) via a crafted POST data.