{
  "$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
  "affected_systems": [],
  "affected_systems_content": "\u003cTT\u003esubversion\u003c/TT\u003e versions 1.0.5 et  versions ant\u00e9rieures.",
  "content": "## Description\n\nsubversion est un syst\u00e8me de contr\u00f4le des versions de fichiers, ajoutant\ndes fonctionnalit\u00e9s \u00e0 CVS (Concurrent Versions System) telle la\npossibilit\u00e9 de copier, d\u00e9placer ou effacer des fichiers ou\nr\u00e9pertoires.  \nUn serveur subversion peut \u00eatre mis en place \u00e0 partir d\u0027un module\nApache, d\u0027un service autonome (svnserver) ou \u00e0 la demande encapsul\u00e9 dans\nle protocole SSH.  \nLe module Apache mod_authz_svn fonctionne avec subversion afin de\nlimiter les acc\u00e8s aux r\u00e9pertoires g\u00e9r\u00e9s par subversion en fonction d\u0027une\npolitique de s\u00e9curit\u00e9 d\u00e9finie par l\u0027administrateur.  \nUne vuln\u00e9rabilit\u00e9 du module Apache mod_authz_svn permet \u00e0 un utilisateur\nd\u0027\u00e9crire dans des r\u00e9pertoires non autoris\u00e9s.\n\n## Contournement provisoire\n\n-   D\u00e9sactiver le module Apache mod_authz_svn (utiliser le serveur\n    svnserve \u00e0 la place) ;\n-   garder les donn\u00e9es sensibles dans des emplacements s\u00e9par\u00e9s des\n    r\u00e9pertoires g\u00e9r\u00e9s par subversion.\n\n## Solution\n\n-   A partir des sources, mettre \u00e0 jour subversion en version 1.0.6 ;\n\n        http://subversion.tigris.org/tarballs/subversion-1.0.6.tar.bz2\n\n-   se r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l\u0027\u00e9diteur pour l\u0027obtention des\n    correctifs (cf. section Documentation).\n",
  "cves": [],
  "links": [
    {
      "title": "Bulletin de s\u00e9curit\u00e9 subversion :",
      "url": "http://subversion.tigris.org/security/mod_authz_svn-copy-advisory.txt"
    },
    {
      "title": "Site Internet de subversion :",
      "url": "http://subversion.tigris.org"
    },
    {
      "title": "Liste des changements dans subversion :",
      "url": "http://svn.collab.net/repos/svn/tags/1.0.6/CHANGES"
    },
    {
      "title": "Mise \u00e0 jour de s\u00e9curit\u00e9 du paquetage NetBSD ap2-subversion    :",
      "url": "ftp://ftp.netbsd.org/pub/NetBSD/packages/pkgsrc/www/ap2-subversion/README.html"
    }
  ],
  "reference": "CERTA-2004-AVI-256",
  "revisions": [
    {
      "description": "version initiale.",
      "revision_date": "2004-07-28T00:00:00.000000"
    }
  ],
  "risks": [
    {
      "description": "Contournement de la politique de s\u00e9curit\u00e9"
    }
  ],
  "summary": "Une vuln\u00e9rabilit\u00e9 du module Apache mod_authz_svn inclus dans subversion\npermet \u00e0 un utilisateur mal intentionn\u00e9 de contourner la politique de\ns\u00e9curit\u00e9.\n",
  "title": "Vuln\u00e9rabilit\u00e9 de subversion",
  "vendor_advisories": [
    {
      "published_at": null,
      "title": "Bulletin de s\u00e9curit\u00e9 Gentoo GLSA 200407-20",
      "url": "http://www.gentoo.org/security/en/glsa/glsa-200407-20.xml"
    }
  ]
}