OpenVPN : débordement de pile dans le service interactif sous Windows (CVE-2024-27459)Google Chrome : faille critique dans libwebp exploitée activement (CVE-2023-4863)Ruby on Rails : exécution de code à distance via le parsing XML (CVE-2013-0156)
Vulnérabilité

Apache HTTP Server : dépassement de tampon dans mod_lua (CVE-2021-44790)

Description

Le module mod_lua permet d’écrire de la logique serveur en Lua directement dans Apache. Sa fonction r:parsebody(), qui lit le corps des requêtes de type multipart (formulaires avec fichiers), ne contrôlait pas correctement la taille des données traitées.

Une requête construite pour l’occasion provoque un dépassement de tampon. La faille est notée 9.8 sur 10 : elle est exploitable à distance, sans authentification et sans interaction de l’utilisateur. L’équipe Apache indiquait ne pas avoir connaissance d’exploit au moment de la publication, tout en considérant qu’il était possible d’en concevoir un.

Qui est réellement exposé ?

Seuls les serveurs qui chargent mod_lua et appellent r:parsebody() sont directement vulnérables. Mais beaucoup d’installations chargent des modules par défaut sans les utiliser : c’est l’occasion de faire le ménage.

Ce que nous recommandons

  • Passer en Apache 2.4.52 ou supérieur sur tous les serveurs exposés.
  • Désactiver les modules inutilisés (a2dismod lua sur Debian/Ubuntu).
  • Inclure les serveurs web dans un scan de vulnérabilités régulier.