元ネタはこちら。 Apache AddHandler madness all over the place Gentoo Bug 538822 どういうことか 次のような指定は危険である。 AddHandler php5-script .php この時に指定される.phpはファイル名の末尾である必要はない。例えば、 aaa.php.html bbb.php.pngなどもphp5-scriptとして解釈されてしまうのだ。これは.XXX.YYYと複数の拡張子が書かれた場合、.XXXと.YYYもAddHandlerの対象となることが原因。 ちなみに次のような場合にはphp5-scriptとして解釈されない。 ccc.php_foo (.php_fooとして解釈されるため) ddd.php_bar.html (.php_barと.htmlとして解釈されるため)実はこのことはApacheのドキュメン
SSL 3.0の脆弱性 CVE-2014-3566 aka POODLE の対応でSSL v3を無効にする必要あり http://www.itmedia.co.jp/news/articles/1410/15/news054.html http://googleonlinesecurity.blogspot.jp/2014/10/this-poodle-bites-exploiting-ssl-30.html https://blog.mozilla.org/security/2014/10/14/the-poodle-attack-and-the-end-of-ssl-3-0/ https://www.openssl.org/~bodo/ssl-poodle.pdf Apache httpd + mod_sslなら http://httpd.apache.org/docs/2.2/mod
シンボリックリンク攻撃を防ぐための Apache HTTPD モジュールの解説はこちら: Apache HTTPD: mod_allowfileowner https://fumiyas.github.io/apache/mod-allowfileowner.html 背景 ロリポップの共有 Web サービス下のサイト改ざん事件で、 攻撃手法の一つとして 「他ユーザー所有のファイルへのシンボリックリンクを自分のコンテンツディレクトリ下に作り、Apache HTTPD 経由でアクセスする」手順が利用されたらしい。 参考: http://blog.tokumaru.org/2013/09/symlink-attack.html 当社サービス「ロリポップ！レンタルサーバー」ユーザーサイトへの第三者による大規模攻撃について http://lolipop.jp/info/news/4149/#090
Apache Software Foundation（ASF）とApache HTTP Server Projectは8月21日、オープンソースのWebサーバー「Apache HTTP Server 2.4.3」をリリースした。2件のセキュリティ問題が修正されており、すべてのユーザーにアップデートを推奨している。 Apache HTTP Server 2.4.3は、2012年2月にリリースされたバージョン2.4系の3回目のリリースで、2件の脆弱性修正およびバグ修正が中心となっている。修正されている脆弱性は、mod_proxy_ajpおよびmod_proxy_httpでプライバシ問題を引き起こす可能性があるというもの（CVE-2012-3502）と、mod_negotiationにおいて、ファイルアップロードの際にクロスサイトスクリプティングが発生する可能性がある問題（CVE-2012-26
yebo blog: Apacheのmod_proxy/mod_rewriteに脆弱性
2011/11/29 Apacheのmod_proxy/mod_rewriteに脆弱性 Apache HTTPD Serverをリバース・プロキシー・モードで動かすと、リライトルールが適切に定義されていない場合、細工を加えたURLリクエストを送ることで内部ネットワーク上の非公開のリソースにアクセスを許してしまう脆弱性が見付かった。発見したQualys Security LabsのPrutha Parikh氏がブログで詳述しており、パッチがリリースされるまでの回避策も書かれている。 メールで送信BlogThis!Twitter で共有するFacebook で共有する 投稿者 zubora 投稿時間 04:52 ラベル: Security, Software, Web 0 コメント: コメントを投稿
既にヘッダ削除設定で対応を終えた人も多いと思いますが、新しいバージョンが出た様なので。 まだ未対策の人は、どちらの対応がリスクが低いか判断して対策されると良いかと思います。 新バージョンのアナウンスは以下です。 Apache HTTP Server 2.2.20 Released http://www.apache.org/dist/httpd/Announcement2.2.html 他に変わってる箇所もありますが、今回の脆弱性(CVE-2011-3192)対応で修正された 箇所で、外部からアクセスした際にも変更がみられる点がメインになります。 当然プロセスが肥大化する部分は直ってますが、内部動作なので詳細は省略します。 バージョンは2.2.19と2.2.20の比較になります。 Rangeリクエスト関連の処理で変更があった、無かった箇所は以下の通りです。 動作が変わった点 32区間を超え
cles::blog 平常心是道 blogs: cles::blog NP_cles() « t2g で GPS ログを可視化する :: LUMIX G X VARIO PZ 14-42mm/F3.5-5.6 ASPH./ POWE... » 2011/08/26 Apache Killer が騒ぎになっている httpd PoC DoS cve 165 0へぇ Apache Killer という Apache HTTPD への DoS ツールが出現して大騒ぎになっている模様。 プロジェクトからも「Advisory: Range header DoS vulnerability Apache HTTPD 1.3/2.x 」というセキュリティアドバイザリが出ています。 ApacheのDoSツールとしてはSlowloris が騒ぎになって以来でしょうか。 Advisory: Range
Apache HTTP Serverの開発チームは8月24日、同Webサーバーの脆弱性を突くDDoS攻撃ツール「Apache Killer」が出回っていると警告した。該当するApacheは1.3系および2系の全バージョン。パッチ発行までユーザーはおのおので対応を講じるよう呼びかけている。 Apache KillerはFull-disclosureというメーリングリストで先週公開された。問題となっているのは「Range header DoS」と呼ばれる脆弱性。リモートから多数のRange指定を含むリクエストを送ることで、ターゲットシステムのメモリとCPUを消費させるというもの。バージョン1.3系および2系のすべてがこの脆弱性を持つという。デフォルト設定ではこの攻撃に対し脆弱で、現在この脆弱性を修正するパッチやリリースはない。Apache Killerではこの脆弱性が悪用され、多数のリクエスト
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
