【ニュー速ハッカー部】Apacheの脆弱性を突く「Apache Killer」 お前らのサーバの危険が危ない
Apache HTTP Serverの脆弱性を突く「Apache Killer」――パッチは48時間以内にリリース予定
2011年08月25日 12:49 末岡洋子
Apache HTTP Serverの開発チームは8月24日、同Webサーバーの脆弱性を突くDDoS攻撃ツール「Apache Killer」が出回っていると警告した。
該当するApacheは1.3系および2系の全バージョン。パッチ発行までユーザーはおのおので対応を講じるよう呼びかけている。
Apache KillerはFull-disclosureというメーリングリストで先週公開された。問題となっているのは「Range header DoS」と呼ばれる脆弱性。
リモートから多数のRange指定を含むリクエストを送ることで、ターゲットシステムのメモリとCPUを消費させるというもの。バージョン1.3系および2系のすべてがこの脆弱性を持つという。
デフォルト設定ではこの攻撃に対し脆弱で、現在この脆弱性を修正するパッチやリリースはない。Apache Killerではこの脆弱性が悪用され、多数のリクエストを送信することなしに
Apacheに多大な負荷をかけられるという。
Security Advisoryでは警告と同時に、この脆弱性を回避する暫定的な対応策が紹介されている。解決策の概要は次のとおり。
1. SetEnvIfもしくはmod_rewriteを使用し、リクエストに多数のRange指定があった場合はそれを無視する
2. リクエストフィールドのサイズ制限を小さめに設定し、長いRangeヘッダを受け付けないようにする（副作用として、ほかのHTTPヘッダが影響を受ける可能性がある）
3. mod_headersを利用してRangeヘッダサポートを無効にする
4. Rangeヘッダーカウントモジュールを適用する
5. 現在議論されている対策パッチを適用する
開発チームは48時間以内に修正パッチをリリースするとし、それまではユーザーが対応策を講じるよう助言している。なお、バージョン1.3はサポートが終了している。
Apache HTTP Server
http://httpd.apache.org/
Security Advisory
http://mail-archives.apache.org/mod_mbox/httpd-announce/201108.mbox/%[email protected]%3E
http://sourceforge.jp/magazine/11/08/25/0351236
|
|
|
2 ：名無しさん＠涙目です。(dion軍)：2011/08/25(木) 20:55:41.19 ID:CGZtoaBe0
僕の肛門括約筋もハッキングされそうです＞＜
3 ：名無しさん＠涙目です。(山形県)：2011/08/25(木) 20:56:02.19 ID:zlLPHPLwP
あなたの予想に反して、このスレが見えているでしょうか？
4 ：名無しさん＠涙目です。(東京都)：2011/08/25(木) 20:57:27.32 ID:HXwIRXRG0
おもむろにMySQLを立ち上げる
5 ：名無しさん＠涙目です。(dion軍)：2011/08/25(木) 20:58:33.87 ID:2vc63E7G0
6 ：名無しさん＠涙目です。(dion軍)：2011/08/25(木) 20:58:55.96 ID:pg0lm8Fy0
お前らがサーバー立てて何するんだよ(´･ω･`)
7 ：名無しさん＠涙目です。(新潟県)：2011/08/25(木) 20:59:52.13 ID:5L8siDhy0
なんだ別に鯖が高負荷にさせられるだけで、
内部の公開していないデータが読み出されるとか任意のコマンドを実行されるとか、
内部のファイルを書き換えられるとかじゃないのね
いいや別に
内部の公開していないデータが読み出されるとか任意のコマンドを実行されるとか、
内部のファイルを書き換えられるとかじゃないのね
いいや別に
8 ：名無しさん＠涙目です。(神奈川県)：2011/08/25(木) 21:00:21.85 ID:yoHjg8zT0
>>6
ファイル鯖に無線LANで接続してエロ漫画鑑賞
ファイル鯖に無線LANで接続してエロ漫画鑑賞
9 ：名無しさん＠涙目です。(大阪府)：2011/08/25(木) 21:00:32.86 ID:/IY67Ujd0
今こそエロ画像ミサイルを発射するんだ！！
10 ：名無しさん＠涙目です。(関東・甲信越)：2011/08/25(木) 21:02:32.83 ID:1bgpytdNO
>>6
うPロダ
うPロダ
11 ：名無しさん＠涙目です。(宮崎県)：2011/08/25(木) 21:03:19.60 ID:owHNBs3j0
ずいぶん性善説な設計だな
12 ：名無しさん＠涙目です。(岐阜県)：2011/08/25(木) 21:06:42.17 ID:YM3IxcDW0
今どき自前で鯖公開してる人なんて、よほどの物好き以外いないでしょ。
13 ：名無しさん＠涙目です。(関西地方)：2011/08/25(木) 21:09:26.32 ID:JFCxyfj30
14 ：名無しさん＠涙目です。(神奈川県)：2011/08/25(木) 21:14:34.35 ID:Ai/RdnR70
15 ：名無しさん＠涙目です。(東京都)：2011/08/25(木) 21:15:53.40 ID:f6ev8Jy80
ジェロニモスレか
16 ：名無しさん＠涙目です。(岡山県)：2011/08/25(木) 21:20:45.94 ID:Ja+9zuFC0
モペがやってたやつ？
17 ：名無しさん＠涙目です。(東京都)：2011/08/25(木) 22:06:16.09 ID:kOGkrDS60
したり顔で0day
18 ：名無しさん＠涙目です。(関西地方)：2011/08/25(木) 22:14:56.98 ID:JFCxyfj30
数年前にAIREDGEで100個に分割ダウンロードしてきた奴がいて、
何度もしつこくリトライされたらしく応答不能になってApacheが落ちてた。
もしかしてこれか？
何度もしつこくリトライされたらしく応答不能になってApacheが落ちてた。
もしかしてこれか？