Apache httpd : déni de service — corrigée en 2.4.69

1. Vérifier si vous êtes concerné

   Versions ou systèmes touchés :

   Apache HTTP Server 2.4.0 à 2.4.68

   apachectl -v
   httpd -v

2. Corriger

   Versions corrigées : 2.4.69, apache2 2.4.69-1~deb13u1 (trixie), apache2 2.4.29-1ubuntu4.27+esm13 (bionic), apache2 2.4.41-4ubuntu3.23+esm9 (focal), apache2 2.4.52-1ubuntu4.25 (jammy), apache2 2.4.58-1ubuntu8.17 (noble), apache2 2.4.66-2ubuntu2.6 (resolute), apache2 2.4.7-1ubuntu4.22+esm17 (trusty), apache2 2.4.18-2ubuntu3.17+esm22 (xenial).

   Mettre à jour Apache httpd (paquet apache2 ou httpd), puis redémarrer le service.

   sudo apt update && sudo apt install --only-upgrade apache2
   sudo systemctl restart apache2

3. En attendant le correctif

   Désactiver le module concerné si la faille en dépend (a2dismod <module>) et recharger la configuration.

4. Contrôler

   apachectl -v doit afficher la version corrigée.

   Contrôler error.log et access.log pour des requêtes inhabituelles.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

Improper validation of FTP PASV reply address in mod_proxy_ftp in Apache Software Foundation Apache HTTP Server through 2.4.68 on all platforms allows, in forward proxy configurations, an untrusted FTP server to cause the proxy to open a data connection to an arbitrary third-party host via a crafted PASV response. Users are recommended to upgrade to version 2.4.69, which fixes this issue.