Radiohobby Forum

adsh

Реалист

Откуда: Киев

Здесь с 16.01.2004

Сообщений: 4,735

Сайт

Apache

Короче - с этим сервером случилась большая ЖОПА:

www.opennet.ru/opennews/art.shtml?num=31582

У кого там есть свои серверы (у Дмитрия, например) - срочно принимайте меры. Новой версии ещё нет, но всё что нужно я уже сделал.

Похоже эпидемия будет большая...

---

Саша

Dmitry

Забанен

Откуда: Запорожье

Здесь с 03.02.2004

Сообщений: 3,105

Сайт

Re: Apache

Тоесть, Александр, ваш сервер уже положили?
(а новость эту я уже читал)

---

Почему когда мы нарушаем, нас штрафуют, а когда всё делаем правильно, с нас берут налоги?....

Dmitry

Забанен

Откуда: Запорожье

Здесь с 03.02.2004

Сообщений: 3,105

Сайт

Re: Apache

вот тут
www.cyberforum.ru/apache/thread345417.html
(прямо в первом посте) приведено на мой взгляд несложное решение

---

Почему когда мы нарушаем, нас штрафуют, а когда всё делаем правильно, с нас берут налоги?....

adsh

Реалист

Откуда: Киев

Здесь с 16.01.2004

Сообщений: 4,735

Сайт

Re: Apache

уязвимость также может быть эксплуатирована через заголовок 'Request-Range', поэтому ранее приведенные методы защиты неэффективны (следует добавить в конфигурацию "RequestHeader unset Request-Range" для блокирования работы устаревшего заголовка Request-Range, используемого только в Netscape Navigator 2-3 и MSIE 3).

Следует использовать рецепты с опеннета, которые предложены непосредственно командой разработчиков Апаче. На данный момент это:

   RewriteEngine on
   RewriteCond %{HTTP:range} !(bytes=[^,]+(,[^,]+){0,4}$|^$) 
   RewriteRule .* - [F]

   RequestHeader unset Request-Range

---

Саша

adsh

Реалист

Откуда: Киев

Здесь с 16.01.2004

Сообщений: 4,735

Сайт

Re: Apache

Вот альтернативный оперативный фикс без использования  mod headers (я не компилю то, что не используется для сохранения ресурсов и отсутствия потенциальной уязвимости от таких модулей):

# Advisory: Range header DoS vulnerability Apache HTTPD 1.3/2.x (CVE-2011-3192)

RewriteEngine on
RewriteCond %{HTTP:range} !(bytes=[^,]+(,[^,]+){0,4}$|^$)
RewriteRule .* - [F]
RewriteCond %{HTTP:request-range} !(^bytes=[^,]+(,[^,]+){0,4}$|^$)
RewriteRule .* - [F]

P.S. Обновил на этом сервере Apache 2.0.64 => 2.2.20 (там уязвимость пофиксена) - пришлось минут 30 перековыривать конфиг из-за ещё большего разбиения его на куски разработчиком .

---

Саша