Poważna dziura w Apache’u

Nieco przedwcześnie ujawniona została nowa, groźna luka w serwerze HTTP Apache. Dotyczy ona zarówno linii 1.3 jak i 2.0 i prowadzić może, w zależności od wersji i platformy serwera, do zablokowania serwisu lub nawet podmiany jego zawartości przez atakującego. Za lukę odpowiedzialny jest moduł obsługujący błędnie skonstruowane zapytania.

W wersjach 1.3, do 1.3.24 włącznie, może on powodować przepełnienie bufora, umożliwiające wykonanie zadanego kodu, co może zaowocować zmianą treści serwisu. Moduł w wersji 2.0 jest poprawiony, jednak wykrycie błędu w zapytaniu powoduje natychmiastowe zabicie procesu serwera. Odpowiednio przeprowadzony atak może doprowadzić do zablokowania serwera. Ze względu na odmienną architekturę środowiska bardziej podatne na pierwszy rodzaj ataku są instalacje na platformach windowsowych. Błąd w wersji 2.0 dotyczy w jednakowym stopniu platform unixowych i windowsowych.

Za bezpieczne wersje uważane są 1.3.25 oraz 2.0.39, które jednak… nie są jeszcze dostępne. Jest to spowodowane przedwczesnym ujawnieniem luki. Patche, które pojawiły się w internecie nie rozwiązują problemu. W tej chwili pozostaje więc śledzić zawartość serwisu httpd.apache.org w oczekiwaniu na nowe wersje serwera.

Źródło: CERT.pl

Zobacz również:
Więcej w newsach o Apache’u
„Apache. Przewodnik encyklopedyczny”