[devel] Re: IA: Apache auth_ldap module Multiple Format Strings Vulnerability

[Volkov Serge]

Приветствую

Vladimir Lettiev пишет:

> Volkov Serge пишет:
>
>> Владимир буду очень благодарен, если сможете подстарховать
>>
>> Так же я думаю, что надо будет провести опрос devel@, чтобы понять 
>> какой из модулей для авторизации LDAP оставить, так как этот модуль 
>> вроде как почти не развивается последнее время.
>
>
> А какой такой "другой" модуль? Ок, forward2devel@
>
я имел в виду: имеющийся в сизифе http://www.sisyphus.ru/srpm/webauth

Небольшая выборка в интернете гласит:
1) http://nona.net/software/ldap/
2) http://sourceforge.net/projects/mod-psldap/
3) http://www.rudedog.org/auth_ldap/  -- есть в сизифе
4) http://authzldap.othello.ch/ -- кажется пытались собрать
5) http://www.muquit.com/muquit/software/mod_auth_ldap/mod_auth_ldap.html
6) http://httpd.apache.org/docs/2.0/mod/mod_auth_ldap.html
7) http://mod-ldap.sourceforge.net/
8) http://perso.ec-lyon.fr/lyonel.vincent/apache/mod_ldap.html
9) http://webauthv3.stanford.edu/ -- есть в Сизифе

>>
>> Vladimir Lettiev пишет:
>>
>>> http://www.digitalarmaments.com/2006090173928420.html
>>>
>>> Апстрим выпустил обновление auth_ldap 1.6.1.
>>> Вот changelog: http://www.rudedog.org/auth_ldap/Changes.html
>>>
>>> Необходимо выпустить обновление и для ALM24. Сергей сможете сделать? 
>>> или подстраховать вас?
>>
>
> В процессе сборки обновления с удивлением обнаруживаю, что ldap_auth 
> после установки на "свежий" апач не работает.
>
> Виной тому, по всей видимости, такой кусок патча для apxs апача 
> apache-1.3.31-apxs.patch:
>
> @@ -468,11 +469,13 @@
> ...
> -        push(@lmd, sprintf("LoadModule %-18s %s", "${name}_module", 
> "$dir$t"));
> ...
> +        push(@lmd, sprintf("LoadModule %-18s %s", join("_", 
> reverse(split("_", ${name}))) . "_module", "modules/$t"));
>
> Из-за использования reverse(), вместо ожидаемой строки в httpd.conf
> LoadModule auth_ldap_module   modules/mod_auth_ldap.so
> получаем
> LoadModule ldap_auth_module   modules/mod_auth_ldap.so
>
> Апач в результате не загружается с таким сообщением:
> Starting libhttpd.ep service: Syntax error on line 266 of 
> /etc/httpd/conf/httpd.conf:
> Can't locate API module structure `ldap_auth_module' in file 
> /etc/httpd/modules/mod_auth_ldap.so: 
> /etc/httpd/modules/mod_auth_ldap.so: undefined symbol: ldap_auth_module
>
> Changelog апача говорит о каких-то таинственных "problem with 
> mod_long_names (by pilot@)". Может кто-нибудь пояснить в чём была 
> проблема, для которой создавался этот патч?
>