FICHE CVE

CVE-2013-4559

Publiée le 2013-11-20 · Dernière modification le 2026-06-16

🇫🇷 EN BREF

Les serveurs web Lighttpd antérieurs à la version 1.4.33 sont sensibles à une faille où le serveur peut ne pas abandonner les privilèges root lors d'un redémarrage. Un attaquant distant et non authentifié peut exploiter cela en inondant le système de requêtes pour déclencher une limite de processus, pouvant ainsi obtenir un contrôle administratif complet du serveur. Cette attaque est complexe à exécuter et nécessite des conditions réseau spécifiques pour réussir.

CVSS 2.07.6 ÉLEVÉE

Type de faiblesse

Erreurs de permissions et de contrôle d'accès · CWE-264

Publiée2013-11-20

Dernière modification2026-06-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'accèsRéseau

Complexité d'accèsÉlevée

AuthentificationAucune

Impact sur la confidentialitéComplet

Impact sur l'intégritéComplet

Impact sur la disponibilitéComplet

RÉFÉRENCES

Description officielle du NVD (en anglais)

lighttpd before 1.4.33 does not check the return value of the (1) setuid, (2) setgid, or (3) setgroups functions, which might cause lighttpd to run as root if it is restarted and allows remote attackers to gain privileges, as demonstrated by multiple calls to the clone function that cause setuid to fail when the user process limit is reached.