Diese Verwundbarkeit wurde von Dan Harkless auf bugtraq bekanntgegeben.
Zitat des Eintrags auf SecurityFocus für dieses Problem:
Ein Problem im Paket kann Verzeichnis-Indizes sowie das Ermitteln von Pfaden gestatten. In der voreingestellten Konfiguration aktiviert Apache mod_dir, mod_autoindex und mod_negotiation. Wenn eine manuelle Anfrage an den Apache gestellt wird, die aus einem langen, künstlich erstellten, Pfadnamen besteht, können diese Module dazu gebracht werden, sich falsch zu verhalten und die Fehlerseite zu umgehen, so dass die Liste mit den Verzeichnis-Inhalten angezeigt wird.
Diese Verwundbarkeit macht es böswilligen Benutzern auf entfernten Rechnern möglich, einen speziellen Angriff zu fahren, um Informationen zu erhalten, die möglicherweise in der Kompromittierung des Systems resultieren. Diese Verwundbarkeit betrifft alle Versionen von Apache bis zu 1.3.19.
Dieses Problem wurde in apache-ssl 1.3.9-13.3 und apache 1.3.9-14 behoben. Wir empfehlen Ihnen, dass Sie Ihre Pakete umgehend erneuern.
Achtung: Die MD5Sum der .dsc und .diff.gz Dateien passten nicht zusammen, da sie nachträglich vom stable Release kopiert wurden, der Inhalt der .diff.gz Datei ist jedoch geprüft worden und der selbe.
MD5-Prüfsummen der aufgeführten Dateien stehen in der ursprünglichen Sicherheitsankündigung zur Verfügung.