O CVE-2012-0883 se aplica ao Ubuntu?

Question

A vulnerabilidade do Apache CVE-2012-0883 afeta o Ubuntu ? Tentei procurá-lo em ubuntu.com , mas sem resultados.

Noto que o Ubuntu lança um aviso de segurança do Ubuntu (USN) quando emite uma atualização para a vulnerabilidade, por ex. USN-1627-1 para CVE-2012-2687 e CVE-2012-4929. No entanto, não consigo encontrar nenhum USN correspondente para CVE-2012-0883, embora eu tenha encontrado isso:

link

E se o Ubuntu não for afetado pela vulnerabilidade, qual versão do Apache contém a correção?

    

Answer 1

Está claramente escrito na página que você vinculou :

Upstream:                               released (2.4.2)
Ubuntu 8.04 LTS (Hardy Heron):          not-affected
Ubuntu 10.04 LTS (Lucid Lynx):          not-affected
Ubuntu 11.04 (Natty Narwhal):           not-affected
Ubuntu 11.10 (Oneiric Ocelot):          not-affected
Ubuntu 12.04 LTS (Precise Pangolin):    not-affected

Além disso, na mesma página, está escrito:

% bl0ck_qu0te%

E se você olhar o changelog incluído no bug, você pode ver:

apache2 (2.0.52-2) unstable; urgency=high
[...]
  * Move envvars to /etc/apache2/ and add patch 038_no_LD_LIBRARY_PATH to
    remove the extraneous LD_LIBRARY_PATH from envvars (closes: #276670)

Isso significa que o bug foi corrigido no Debian desde a versão 2.0.52 .

Por último, mas não menos importante, se você olhar seu /etc/apache2/envvars ou /usr/share/apache2/build/envvars-std , verá que eles não contêm nenhum LD_LIBRARY_PATH malicioso.