[devel] Re: IA: Apache auth_ldap module Multiple Format Strings Vulnerability

[devel] Re: IA: Apache auth_ldap module Multiple Format Strings Vulnerability

[Vladimir Lettiev]

Volkov Serge пишет:
> Владимир буду очень благодарен, если сможете подстарховать
> 
> Так же я думаю, что надо будет провести опрос devel@, чтобы понять какой 
> из модулей для авторизации LDAP оставить, так как этот модуль вроде как 
> почти не развивается последнее время.

А какой такой "другой" модуль? Ок, forward2devel@

> 
> Vladimir Lettiev пишет:
> 
>> http://www.digitalarmaments.com/2006090173928420.html
>>
>> Апстрим выпустил обновление auth_ldap 1.6.1.
>> Вот changelog: http://www.rudedog.org/auth_ldap/Changes.html
>>
>> Необходимо выпустить обновление и для ALM24. Сергей сможете сделать? 
>> или подстраховать вас?

В процессе сборки обновления с удивлением обнаруживаю, что ldap_auth 
после установки на "свежий" апач не работает.

Виной тому, по всей видимости, такой кусок патча для apxs апача 
apache-1.3.31-apxs.patch:

@@ -468,11 +469,13 @@
...
-        push(@lmd, sprintf("LoadModule %-18s %s", "${name}_module", 
"$dir$t"));
...
+        push(@lmd, sprintf("LoadModule %-18s %s", join("_", 
reverse(split("_", ${name}))) . "_module", "modules/$t"));

Из-за использования reverse(), вместо ожидаемой строки в httpd.conf
LoadModule auth_ldap_module   modules/mod_auth_ldap.so
получаем
LoadModule ldap_auth_module   modules/mod_auth_ldap.so

Апач в результате не загружается с таким сообщением:
Starting libhttpd.ep service: Syntax error on line 266 of 
/etc/httpd/conf/httpd.conf:
Can't locate API module structure `ldap_auth_module' in file 
/etc/httpd/modules/mod_auth_ldap.so: 
/etc/httpd/modules/mod_auth_ldap.so: undefined symbol: ldap_auth_module

Changelog апача говорит о каких-то таинственных "problem with 
mod_long_names (by pilot@)". Может кто-нибудь пояснить в чём была 
проблема, для которой создавался этот патч?

-- 
С уважением, Владимир Леттиев aka crux <crux@gorodmasterov.com>

Re: [devel] Re: IA: Apache auth_ldap module Multiple Format Strings Vulnerability

[Volkov Serge]

Приветствую

Vladimir Lettiev пишет:

> Volkov Serge пишет:
>
>> Владимир буду очень благодарен, если сможете подстарховать
>>
>> Так же я думаю, что надо будет провести опрос devel@, чтобы понять 
>> какой из модулей для авторизации LDAP оставить, так как этот модуль 
>> вроде как почти не развивается последнее время.
>
>
> А какой такой "другой" модуль? Ок, forward2devel@
>
я имел в виду: имеющийся в сизифе http://www.sisyphus.ru/srpm/webauth

Небольшая выборка в интернете гласит:
1) http://nona.net/software/ldap/
2) http://sourceforge.net/projects/mod-psldap/
3) http://www.rudedog.org/auth_ldap/  -- есть в сизифе
4) http://authzldap.othello.ch/ -- кажется пытались собрать
5) http://www.muquit.com/muquit/software/mod_auth_ldap/mod_auth_ldap.html
6) http://httpd.apache.org/docs/2.0/mod/mod_auth_ldap.html
7) http://mod-ldap.sourceforge.net/
8) http://perso.ec-lyon.fr/lyonel.vincent/apache/mod_ldap.html
9) http://webauthv3.stanford.edu/ -- есть в Сизифе

>>
>> Vladimir Lettiev пишет:
>>
>>> http://www.digitalarmaments.com/2006090173928420.html
>>>
>>> Апстрим выпустил обновление auth_ldap 1.6.1.
>>> Вот changelog: http://www.rudedog.org/auth_ldap/Changes.html
>>>
>>> Необходимо выпустить обновление и для ALM24. Сергей сможете сделать? 
>>> или подстраховать вас?
>>
>
> В процессе сборки обновления с удивлением обнаруживаю, что ldap_auth 
> после установки на "свежий" апач не работает.
>
> Виной тому, по всей видимости, такой кусок патча для apxs апача 
> apache-1.3.31-apxs.patch:
>
> @@ -468,11 +469,13 @@
> ...
> -        push(@lmd, sprintf("LoadModule %-18s %s", "${name}_module", 
> "$dir$t"));
> ...
> +        push(@lmd, sprintf("LoadModule %-18s %s", join("_", 
> reverse(split("_", ${name}))) . "_module", "modules/$t"));
>
> Из-за использования reverse(), вместо ожидаемой строки в httpd.conf
> LoadModule auth_ldap_module   modules/mod_auth_ldap.so
> получаем
> LoadModule ldap_auth_module   modules/mod_auth_ldap.so
>
> Апач в результате не загружается с таким сообщением:
> Starting libhttpd.ep service: Syntax error on line 266 of 
> /etc/httpd/conf/httpd.conf:
> Can't locate API module structure `ldap_auth_module' in file 
> /etc/httpd/modules/mod_auth_ldap.so: 
> /etc/httpd/modules/mod_auth_ldap.so: undefined symbol: ldap_auth_module
>
> Changelog апача говорит о каких-то таинственных "problem with 
> mod_long_names (by pilot@)". Может кто-нибудь пояснить в чём была 
> проблема, для которой создавался этот патч?
>

[devel] Apache auth_ldap module - Какой модуль оставляем?

[Volkov Serge]

Привествую

[skip]

> Volkov Serge пишет:
>
>>>
>>> Так же я думаю, что надо будет провести опрос devel@, чтобы понять 
>>> какой из модулей для авторизации LDAP оставить, так как этот модуль 
>>> вроде как почти не развивается последнее время.
>>
>> Владимир буду очень благодарен, если сможете подстарховать
>>
>>
>> А какой такой "другой" модуль? Ок, forward2devel@
>>
> я имел в виду: имеющийся в сизифе http://www.sisyphus.ru/srpm/webauth
>
> Небольшая выборка в интернете гласит:
> 1) http://nona.net/software/ldap/
> 2) http://sourceforge.net/projects/mod-psldap/
> 3) http://www.rudedog.org/auth_ldap/  -- есть в сизифе
> 4) http://authzldap.othello.ch/ -- кажется пытались собрать
> 5) http://www.muquit.com/muquit/software/mod_auth_ldap/mod_auth_ldap.html
> 6) http://httpd.apache.org/docs/2.0/mod/mod_auth_ldap.html
> 7) http://mod-ldap.sourceforge.net/
> 8) http://perso.ec-lyon.fr/lyonel.vincent/apache/mod_ldap.html
> 9) http://webauthv3.stanford.edu/ -- есть в Сизифе

Ну что думает общественность по данному вопросу?