がっでむ！

15 名前：動け動けウゴウゴ２ちゃんねる[] 投稿日：2011/08/25(木) 22:50:07.51 ID:Ndt8kIn70 [1/2]
だれかこれ2chに撃ってみて
パッチ当ててなかったら落ちると思う
http://seclists.org/fulldisclosure/2011/Aug/175

47 名前：動け動けウゴウゴ２ちゃんねる[] 投稿日：2011/08/25(木) 23:24:46.26 ID:Ndt8kIn70 [2/2]
ごめんなさいraicho落としてしまいました

55 名前：動け動けウゴウゴ２ちゃんねる[] 投稿日：2011/08/25(木) 23:28:14.19 ID:Ndt8kIn70
>>52
10と100を打ち間違えた

78 名前：動け動けウゴウゴ２ちゃんねる[] 投稿日：2011/08/25(木) 23:39:10.67 ID:Ndt8kIn70
>>68
モペキチが自分で発見した2chの脆弱性ってあるのかな
ほとんと東日本さんのやつパクってるだけでしょ

【news】ニュース速報運用情報839【ν】
http://qb5.2ch.net/test/read.cgi/operate/1314279369/

Apache HTTPD 1.3/2.x の Range ヘッダーの DoS 脆弱性について
Apache HTTPD の 1.3/2.x の Range ヘッダーの処理に DoS 攻撃の原因となる脆弱性が発見されました。パッチがリリースされるまでのとりあえずの対策が公開されています。

2011年8月20日に Full-Disclosure メーリングリストにおいて、Apache HTTPD 1.3/2.x の Range ヘッダー処理の問題を突いて、Apache HTTPD を処理不能にしてしまうスクリプト (Apache Killer) が公開されました。

Apache HTTPD の開発チームはパッチを準備中ですが、 SetEnvIf ディレクティブや mod_rewrite などを使ったとりあえずの対応策が公開されています。

詳しくは Apache HTTPD のアナウンスメーリングリストの記事をごらんください (英語)。

Advisory: Range header DoS vulnerability Apache HTTPD 1.3/2.x (CVE-2011-3192)

なお、リンク先で紹介されている SetEnvIf と RequestHeader unset による方法は 2.0.x シリーズでは動作しないようです。

　Apache HTTP Serverの開発チームは8月24日、同Webサーバーの脆弱性を突くDDoS攻撃ツール「Apache Killer」が出回っていると警告した。該当するApacheは1.3系および2系の全バージョン。パッチ発行までユーザーはおのおので対応を講じるよう呼びかけている。

　Apache KillerはFull-disclosureというメーリングリストで先週公開された。問題となっているのは「Range header DoS」と呼ばれる脆弱性。リモートから多数のRange指定を含むリクエストを送ることで、ターゲットシステムのメモリとCPUを消費させるというもの。バージョン1.3系および2系のすべてがこの脆弱性を持つという。デフォルト設定ではこの攻撃に対し脆弱で、現在この脆弱性を修正するパッチやリリースはない。Apache Killerではこの脆弱性が悪用され、多数のリクエストを送信することなしにApacheに多大な負荷をかけられるという。

　Security Advisoryでは警告と同時に、この脆弱性を回避する暫定的な対応策が紹介されている。解決策の概要は次のとおり。

SetEnvIfもしくはmod_rewriteを使用し、リクエストに多数のRange指定があった場合はそれを無視する
リクエストフィールドのサイズ制限を小さめに設定し、長いRangeヘッダを受け付けないようにする（副作用として、ほかのHTTPヘッダが影響を受ける可能性がある）
mod_headersを利用してRangeヘッダサポートを無効にする
Rangeヘッダーカウントモジュールを適用する
現在議論されている対策パッチを適用する
　開発チームは48時間以内に修正パッチをリリースするとし、それまではユーザーが対応策を講じるよう助言している。なお、バージョン1.3はサポートが終了している。