Re: [apache-talk] ISS Advisory: Remote Compromise Vulnerability inApache HTTP Server (fwd)

[Igor Sysoev <is@rambler-co.ru>]

On Tue, 18 Jun 2002, Igor Sysoev wrote:

> On Tue, 18 Jun 2002, Yury Bokhoncovich wrote:
> 
> > Ну, и что общественность по этому поводу думает?
> 
> На самом деле, vulnerability не так страшна, как её малюют.
> 
> Во всех стандартных модулях, которые читают тело запроса -
> mod_cgi, mod_proxy, mod_isapi - при chunked возвращается ошибка.
> В mod_accel, кстати, тоже. Насколько я знаю, ни один бразуер это
> просто не поддерживает.
> 
> Единственное место, где в стандартном Apache воспринимается
> chunk'нутое тело запроса - это ap_discard_request_body().
> Но там используется 8K буфер, а его размер просто не попадает под
> vulnerability.

Взглянув на патч ещё раз, заметил, что vulnerability проявляется
только при размере буфера больше 2G. Я сильно сомневаюсь, что
где-то используются такие буфера.

Так что это не vulnerability, а пшик. А шуму-то:

         Apache: ISS X-Force has discovered a serious
         vulnerability in the default version of Apache HTTP
         Server . A flawed mechanism that calculates the size of
         "chunked" encoding may lead to modified Web content,
         denial of service, or further compromise. Apache
         accounts for over 63% of all active Web sites.

Игорь Сысоев
http://sysoev.ru

=============================================================================
=               Apache-Talk@lists.lexa.ru mailing list                      =
Mail "unsubscribe apache-talk" to majordomo@lists.lexa.ru if you want to quit.
=       Archive avaliable at http://www.lexa.ru/apache-talk                 =