Faille dans un module du serveur d'applications de Sun One

Une faille vient d'être découverte dans un module sur serveur d'applications de la plate-forme Sun One. Celle-ci peut permettre à un pirate de prendre le contrôle du serveur Web de la plate-forme via le module Connector. Ce dernier, un plug-in NSAPI (Netscape Server API) assure l'intégration entre les serveurs Web et d'applications de Sun One. Un simple URL trop long transmis dans une requête http suffit à provoquer un dépassement de mémoire tampon.

Les versions 6.0 et 6.5 sur serveur d'applications de Sun One sont concernées mais seule la plus récente bénéficie d'un correctif.

Stake Inc, à l'origine de la découverte de la faille, suggère plusieurs remèdes : écrire un module NSAPI qui inspecte la longueur des URL passés dans les requêtes http ; installer un serveur gestionnaire des connexions SSL distinct sur serveur Web de Sun One et installer un détecteur d'intrusion chargé d'examiner le trafic "en clair" ; terminer la session SSL au niveau d'un reverse proxy qui valide les données de toutes les entêtes http.