Une faille frappe Apache HTTP

Des chercheurs en sécurité ont mis le doigt sur une faille au sein du très populaire serveurs Web Open Source Apache HTTP, qui selon eux permettrait à des attaquants d'accéder à des données initialement protégées. L'exploit n'est possible que si l'instruction RewriteRule - qui permet notamment de réécrire les URL - n'a pas été bien définie. Les attaquants peuvent exécuter des requêtes non autorisées et accéder à des ressources internes.

Selon ces chercheurs, cette vulnérabilité aurait été repérée dans des configurations de type Reverse Proxy du serveur, utilisées notamment pour le load-balancing, ou le caching.

Pointée du doigt par les équipes de Qualys, cette méthode n'est selon eux pas nouvelle et avait déjà été l'objet d'un précédent patch. Ils ont toutefois observé que cette ancienne rustine pouvait être contournée.
Les équipes Apache travaillent à colmater la brèche.