【 以下文字轉載自 NHITCC 討論區 】
【 原文由 snail 所發表 】
Apache 1.3.24(含)之前及Apache 2.036(含)之前的版本被發現重大的系統漏洞, 可能導致
DoS的攻擊, 甚至有機會取得系統權限執行其他程式碼, Apache 組織建議 Apache Web
Server 的用戶請儘快修補這個漏洞.
這個漏洞發生在 Apache 處理 Chunked Encoding 的連線請求的程式碼中, 可以從遠端
來觸發並且這個是預設內建的功能, 無法透過設定來避免.
在一般情況下, 無效的連線請求會由child process來中止, 這樣可能造成駭客從遠端
以DoS攻擊, 讓系統資源耗費在啟動child process及中止child process的動作中, 有
些版本的 child process 啟動時還要讀取所有設定檔, 耗費系統更大的負擔.
在 Apache 2.0 中這個錯誤的狀況可以被正確的偵測到, 所以駭客沒有機會可以執行到
伺服器上的其程式碼, 但如果是以multithreaded 方式來處理每個child process的
(預設是single thread), 將有可能無法掌握.
在 Apache 1.3版中這個漏洞導玫 stack overflow, 由於 32-bit Unix 平台的特性,
將會導致一個 segmentation violation的錯誤並使得child process中止. 64-bit
的平台也會因 data type conversion而出現漏洞.
影響的系統
Apache 1.2.2 及以上
Apache 1.3 至 1.3.24
Apache 2.0 至 2.0.36
修正方式
將 Apache 版本升級到 1.3.26 及 2.0.39
--
我身為一個機械工程師,有支板手在身邊,是很合邏輯的事.
— 機械製造87級 snail @/"
--
∣ ▲ ∣ 夢之園地：虎尾技術學院計中尋夢園
╭—╮├—╮ —┼— 尋夢位址：bbs.nhit.edu.tw〔140.130.4.104〕
∣ ∣∣ ∣ ∣ ∣ 夢者來源：ftp.ME.nhit.edu.tw
∣ ∣∣ ∣ ∣ ∣ 今夜睡不著覺，只有到尋夢園找尋另一個夢境。 ∣
┴ ┴┴ ┴ ┴ ╰═══════════════════════╯