On Tue, 18 Jun 2002, Igor Sysoev wrote:
> On Tue, 18 Jun 2002, Igor Sysoev wrote:
>
> > On Tue, 18 Jun 2002, Yury Bokhoncovich wrote:
> >
> > > Ну, и что общественность по этому поводу думает?
> >
> > На самом деле, vulnerability не так страшна, как её малюют.
> >
> > Во всех стандартных модулях, которые читают тело запроса -
> > mod_cgi, mod_proxy, mod_isapi - при chunked возвращается ошибка.
> > В mod_accel, кстати, тоже. Насколько я знаю, ни один бразуер это
> > просто не поддерживает.
> >
> > Единственное место, где в стандартном Apache воспринимается
> > chunk'нутое тело запроса - это ap_discard_request_body().
> > Но там используется 8K буфер, а его размер просто не попадает под
> > vulnerability.
>
> Взглянув на патч ещё раз, заметил, что vulnerability проявляется
> только при размере буфера больше 2G. Я сильно сомневаюсь, что
> где-то используются такие буфера.
>
> Так что это не vulnerability, а пшик. А шуму-то:
>
> Apache: ISS X-Force has discovered a serious
> vulnerability in the default version of Apache HTTP
> Server . A flawed mechanism that calculates the size of
> "chunked" encoding may lead to modified Web content,
> denial of service, or further compromise. Apache
> accounts for over 63% of all active Web sites.
Взглянув на патч ещё раз, заметил, что vulnerability всё-таки есть.
В заблуждение ввёл именно вид патча. То есть, с точки зрения
читабельного кода cast в патче стоит не в том месте.
Но проблему он решает.
Игорь Сысоев
=============================================================================
= Apache-Talk@lists.lexa.ru mailing list =
Mail "unsubscribe apache-talk" to majordomo@lists.lexa.ru if you want to quit.
= Archive avaliable at =
