Apacheに新たな脆弱性発見
1 ： トウゴクシソバタツナミ(dion軍)：
あるAnonymous Coward 曰く、
Apacheに、DoS攻撃に繋がる脆弱性が新たに見つかったそうだ（本家/.記事より）
この脆弱性は、これを利用したHTTP DoSツール「Slowloris」がリリースされたことから明らかになったとのこと。
この攻撃ツールはApacheに不完全なリクエストヘッダーを送り続けるもので、
Apacheが最後のヘッダが送られてくるのを待つ間、偽のヘッダを送ることで接続をオープンにし続け、
Apacheのプロセスを一杯にさせるものだという。
脆弱性はApache 1.x、 2.x、 dhttpd、 GoAhead WebServer、そしてSquidにて確認されているが、
IIS6.0、 IIS7.0、およびlighttpdでは確認されていないとのこと。
SANSでは詳細のレポートが挙がっており、
TimeOutディレクティブでタイムアウト値の設定を変えることでこの攻撃を軽減することが可能とのことで、
今のところ対策はこれくらいしかないそうだ。
http://slashdot.jp/security/09/06/23/0455215.shtml
|
|
|
2 ： シキミ(千葉県)：2009/06/23(火) 22:26:39.32 ID:lJmdeqrK
見つかったそうだってblogみたいだな
3 ： ハナワギク(神奈川県)：2009/06/23(火) 22:26:39.30 ID:pOSuVq/Z
はげじゃくせいｷﾀ━━━━━(ﾟ∀ﾟ)━━━━━!!!
4 ： トウゴクシソバタツナミ(神奈川県)：2009/06/23(火) 22:26:44.33 ID:dvgtkueR
山田にさえかからなければマカー大勝利
5 ： ヒュウガミズキ(東日本)：2009/06/23(火) 22:27:10.58 ID:FoDNee4J
＞不完全なリクエストヘッダーを送り続けるもので
今は亡きネスケと同じじゃん
今は亡きネスケと同じじゃん
6 ： トウゴクシソバタツナミ(アラバマ州)：2009/06/23(火) 22:27:18.91 ID:xR6JB0v9
>>2
だってスラドだし
だってスラドだし
7 ： クンシラン(愛知県)：2009/06/23(火) 22:27:43.57 ID:W8ap4BRw
＞IIS6.0、 IIS7.0、およびlighttpdでは確認されていないとのこと。
MS厨歓喜ｗｗｗｗｗ
MS厨歓喜ｗｗｗｗｗ
8 ： ユキノシタ(愛知県)：2009/06/23(火) 22:28:15.36 ID:yay18ySX
裸がユニフォームだからな
9 ： オキナグサ(dion軍)：2009/06/23(火) 22:28:26.72 ID:4Jb7zBGM
またきじゃくせいか
10 ： シザンサス(東京都)：2009/06/23(火) 22:29:34.78 ID:rYJLAMww
あぱっちぇ
11 ： キバナスミレ(関西地方)：2009/06/23(火) 22:30:09.73 ID:Nuc+qCxN
Apacheって
ＵＮＩＸとかＬＩＮＡＸばりにかっこいいＩＴ語だよね！
情報系にいった奴で無意味にアパッチって口に出すよな
あとスカジーも言いたがる
ＵＮＩＸとかＬＩＮＡＸばりにかっこいいＩＴ語だよね！
情報系にいった奴で無意味にアパッチって口に出すよな
あとスカジーも言いたがる
12 ： セイヨウオダマキ(関東・甲信越)：2009/06/23(火) 22:30:19.92 ID:eYtMlUFX
攻撃ヘリか
アーミー涙目だな
アーミー涙目だな
13 ： トウゴクシソバタツナミ(アラバマ州)：2009/06/23(火) 22:30:45.59 ID:SRhkRhZf
AH-64
14 ： ジュウニヒトエ(コネチカット州)：2009/06/23(火) 22:32:28.44 ID:Yi7wgX3g
きじゃくせいばっかだな
15 ： シザンサス(東京都)：2009/06/23(火) 22:34:44.06 ID:rYJLAMww
Linux+apache
win+IIS
の組み合わせだとOSレベルでの命令云々とかで超高速になる
これがよくわからない
win+IIS
の組み合わせだとOSレベルでの命令云々とかで超高速になる
これがよくわからない
16 ： ナツグミ(愛知県)：2009/06/23(火) 22:36:06.84 ID:r85GtGZK
>15
もっともテストされて欠陥もつぶして
最適化されてるってことだよ
もっともテストされて欠陥もつぶして
最適化されてるってことだよ
17 ： トサミズキ(兵庫県)：2009/06/23(火) 22:37:08.36 ID:HIdE1Svw
incredible bongo band
Winと2.x系って相性悪いよな……
いまだに1.x系だよ
いまだに1.x系だよ
19 ： ホトケノザ(catv?)：2009/06/23(火) 22:42:33.27 ID:JIszfxKz
非公式なパッチが出てるみたい。
ttp://synflood.at/tmp/anti-slowloris.diff
あと、DDoSをなめてるように聞こえるかもしれないけど、Apacheが落ちることだけ
になるんじゃない？それならまだ攻撃をする人が直接マシンでコマンドを走らす
ことよりいいんじゃない？
とうちの一言。
ttp://synflood.at/tmp/anti-slowloris.diff
あと、DDoSをなめてるように聞こえるかもしれないけど、Apacheが落ちることだけ
になるんじゃない？それならまだ攻撃をする人が直接マシンでコマンドを走らす
ことよりいいんじゃない？
とうちの一言。
20 ： マーガレット(東京都)：2009/06/23(火) 22:46:06.44 ID:4t9wf3IT
アパッチとか何に使われてるのかわからない
21 ： カキツバタ(岡山県)：2009/06/23(火) 22:46:18.65 ID:v4c1v8AQ
ケイタイの転送が遅いからなんちゃらって昔２ちゃんで見たような気がする
22 ： 桜(埼玉県)：2009/06/23(火) 22:48:03.59 ID:ISR76ZVM
いいかげん、脆弱性のないソフト出せよ。
バグだらけだな、まったく。
バグだらけだな、まったく。
23 ： ◆MiMIZUNCjA ：2009/06/23(火) 22:51:18.29 ID:madzspeM BE:189270094-PLT(12073)
IIS7強すぎ。わろうた
24 ： タツタナデシコ(catv?)：2009/06/23(火) 22:51:47.31 ID:wUK+nwQO
lighttpdだろ
25 ： ケブカツルカコソウ(東京都)：2009/06/23(火) 22:52:59.69 ID:A1KePhLa
Vistaや7の家庭鯖ならIISで良いんじゃないの
26 ： シロバナタンポポ(アラバマ州)：2009/06/23(火) 22:53:13.90 ID:1aFqBES/
IIS使ってる俺歓喜ｗｗｗｗｗｗｗ」」
27 ： スノーフレーク(アラバマ州)：2009/06/23(火) 22:55:46.54 ID:YymRql0B
日本アパッチ族のアニメ化希望
28 ： ◆MiMIZUNCjA ：2009/06/23(火) 22:56:04.79 ID:madzspeM BE:94635836-PLT(12073)
IISでCodeRedに感染した俺、感涙wwwww
29 ： ホトケノザ(catv?)：2009/06/23(火) 22:56:43.80 ID:JIszfxKz
>>23
IIS7には脆弱性が全くないとでも思ってるの？
>>22
自分で開発してみなよ。ユーザーに渡す前に全てのシナリオを自分で思いつくか
どうかは楽しみだ。開発者は神でもなんでもないし。普通にの人間だ。
っていうか、脆弱性の中でもこれは何となく小さい方だと思ってるし、週末あたりに
はもう公式パッチも出るんじゃないかと思う。IIS7のパッチってどれぐらいの
速さできてる？MSの普段の速度だとオープンそースには適わないと思うんだがな。
最後に思うことを一応書いておく。個人的にはむしろバグが全く見つからないより
見つけ出す方がいいかと、それでソフトの開発者も新しい見方を習うんだし、
まだ見つけ出すことが出来なかったバグも直せるでしょう。
以上。
IIS7には脆弱性が全くないとでも思ってるの？
>>22
自分で開発してみなよ。ユーザーに渡す前に全てのシナリオを自分で思いつくか
どうかは楽しみだ。開発者は神でもなんでもないし。普通にの人間だ。
っていうか、脆弱性の中でもこれは何となく小さい方だと思ってるし、週末あたりに
はもう公式パッチも出るんじゃないかと思う。IIS7のパッチってどれぐらいの
速さできてる？MSの普段の速度だとオープンそースには適わないと思うんだがな。
最後に思うことを一応書いておく。個人的にはむしろバグが全く見つからないより
見つけ出す方がいいかと、それでソフトの開発者も新しい見方を習うんだし、
まだ見つけ出すことが出来なかったバグも直せるでしょう。
以上。
30 ： キショウブ(大阪府)：2009/06/23(火) 23:28:27.88 ID:vv6GrWtJ
31 ： スミレ(アラバマ州)：2009/06/24(水) 00:25:17.34 ID:Jw2JWmZM
脆弱性ってのはバグじゃないだろｗ
32 ： ウラシマソウ(北海道)：2009/06/24(水) 00:33:40.88 ID:5bzh+pxY
まあ定例月刊パッチと称して数ヶ月脆弱性を放置するIISと違って
すぐ穴が塞がるしな。というか既にパッチ出てるな
すぐ穴が塞がるしな。というか既にパッチ出てるな
33 ： カンパニュラ・アーチェリー(アラバマ州)：2009/06/24(水) 01:00:09.57 ID:Jox4T4UU
XP proにIISのおまけがついてくるけど、どうやって設定したらよいのかが分からなくて困る。
34 ：番組の途中ですが名無しです：2009/06/24(水) 01:01:47.55 ID:eZ9gAP7B
IIS5.1は同時接続数10までとか小規模・テスト用だ
35 ： ヒュウガミズキ(アラバマ州)：2009/06/24(水) 01:03:08.00 ID:dxjAu27O
win的にはapacheよりIISなのかね
ずっとapache2系で自鯖やってるわ
アクセスが2000/dayだから余裕ってのもあるが
ずっとapache2系で自鯖やってるわ
アクセスが2000/dayだから余裕ってのもあるが
36 ： ねこやなぎ(大阪府)：2009/06/24(水) 01:21:41.95 ID:0MDqZhys
IIS設定らくちん過ぎ。
Apacheめんどくさ過ぎ。
Apacheめんどくさ過ぎ。
37 ： トベラ(大阪府)：2009/06/24(水) 01:26:29.20 ID:3x/iJ9Eh
NEU!
38 ： サポナリア(東京都)：2009/06/24(水) 01:32:56.03 ID:yIYmGZTS
39 ：番組の途中ですが名無しです：2009/06/24(水) 01:38:52.69 ID:eZ9gAP7B
>>23遅レスだが
IIS6と7で差はあるんだっけ？
IIS6と7で差はあるんだっけ？
40 ： ケマンソウ(東京都)：2009/06/24(水) 01:39:51.56 ID:22oYol3d
XPまでならapacheじゃね
41 ： フデリンドウ(埼玉県)：2009/06/24(水) 06:52:12.56 ID:n9y6ar8I
ビルドできるようにするかなー
42 ： スィートアリッサム(アラバマ州)：
winでapache動かすと
パフォーマンス悪いよね
パフォーマンス悪いよね