CVE-2016-2146
WysokieStreszczenie
Funkcja am_read_post_data w mod_auth_mellon przed wersją 0.11.1 nie ogranicza ilości odczytywanych danych, co pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez dużą ilość danych POST.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do zablokowania procesu roboczego, co prowadzi do niedostępności serwera WWW lub nadmiernego zużycia pamięci.
Rekomendacja
Zaleca się aktualizację mod_auth_mellon do wersji 0.11.1 lub nowszej, aby zlikwidować tę podatność.
Inne podatności w mod_auth_mellon
Zobacz wszystkie- CVE-2016-2145Wysokie
Funkcja am_read_post_data w mod_auth_mellon przed wersją 0.11.1 nie sprawdza, czy funkcja ap_get_client_block zwraca błąd, co umożliwia zdalnym atakującym spowodowanie awarii usługi (błąd segmentacji i awaria procesu) poprzez spreparowane dane POST.
- CVE-2014-8567Wysokie
Moduł mod_auth_mellon w wersjach przed 0.8.1 umożliwia zdalnym atakującym spowodowanie awarii serwera Apache HTTP poprzez spreparowane żądanie wylogowania, które wywołuje odczyt niezainicjowanych danych.
Oryginalny opis (angielski, źródło NVD)
The am_read_post_data function in mod_auth_mellon before 0.11.1 does not limit the amount of data read, which allows remote attackers to cause a denial of service (worker process crash, web server deadlock, or memory consumption) via a large amount of POST data.