En sårbarhet har upptäcks i mod_auth_shadow, en Apachemodul som låter användare utföra HTTP-autentisering mot /etc/shadow. Modulen körs för alla platser som använder direktivet ”require group” och förbigick åtkomstbegränsningar som styrs av andra autentiseringsmekanismer, till exempel AuthGroupFile, om användar-id finns i lösenordsfilen och i gshadow-filen i rätt grupp, samt om det bifogade lösenordet stämmer med det i shadow-filen.
Denna uppdatering kräver ett explicit ”AuthShadow on”-kommando om webbplatsautentiseringen skall kontrolleras gentemot /etc/shadow.
För den gamla stabila utgåvan (Woody) har detta problem rättats i version 1.3-3.1woody.2.
För den stabila utgåvan (Sarge) har detta problem rättats i version 1.4-1sarge1.
För den instabila utgåvan (Sid) har detta problem rättats i version 1.4-2.
Vi rekommenderar att ni uppgraderar ert libapache-mod-auth-shadow-paket.
MD5-kontrollsummor för dessa filer finns i originalbulletinen.