Apache confirma una vulnerabilidad DoS en Web Server

Archivado
La vulnerabilidad ya se puede explotar con una herramienta, bautizada como Apache Killer, disponible en Internet desde el pasado 19 de agosto.

Apache Software Foundation ha prometido lanzar un parche en breve para solucionar una vulnerabilidad que expone los servidores web que ejecutan el software Apache a ataques de denegación de servicio, o DoS.

La vulnerabilidad es pública, igual que la herramienta de ataque de denegación de servicio que explota el fallo. El equipo de Apache está trabajando para solucionar el fallo, que se espera esté disponible en los próximos días.

Bautizada como “Apache Killer”, la herramienta DoS apareció el pasado 19 de agosto y no fue hasta el 24 de este mes cuando la Apache Software Foundation reconoció que la vulnerabilidad existía, prometiendo un parche para las “siguientes 96 horas”.

Apache es el software para servidores web más utilizado en el mundo, con una cuota de mercado del 65,2%. El equipo de Apache asegura que todas las versiones del software de las líneas 1.3 y 2.0 tienen el fallo DoS y son vulnerables a los ataques.

El fallo está relacionado con un defecto en la manera en la que se gestionan múltiples HTTP superpuestos. El ataque puede ser lanzado de forma remota y un “pequeño número de peticiones” pueden consumir grandes cantidades de memoria y CPU en el servidor, según explican en Apache Software Foundation.

Fuente: http://www.itespresso.es/apache-confirm ... 52614.html


Esperemos que apache se de prisa en solucionarlo por que lo he probado y me ha tumbado el servidor por completo [uzi]
Es un fallo grandisimo por parte de Apache. Podrian caer gran cantidad de servidores web. Esperemos que Apache corrija el problema en poco tiempo tal y como dicen, de lo contrario empezaremos a ver caer unas cuanta paginas en poco tiempo.
Será la vulnerabilidad que aprovechó LulzSec durante sus gracietas internacionales ?
yo estuve buscando el bug para probarlo y creo que leí por alguna fuente inglesa que es un bug que pueden haber estado aprovechando desde 2006.

ciertamente el probado el apachekiller y cualquiera podría joderte pues tiene una dificultad de uso ideal para lammers...

a veces pienso que hacen peor anunciando que se ha encontrado un bug en vez de corregirlo y luego entonces decir lo que sea
adios LOIC! y demas, yo creo que no tan solo el apache killer hacia esto, puedo asegurar que muchos de los Softwares de ataque DoS aprovechaban esta vulnerabilidad... creo que a Anonymous se le acabo parte de la fiesta!
When some one execute this attack on your server, it will eat up your 1 GB RAM in 10 seconds, your CPU load will hit 10 average load and our server will finally freeze. Test it out before Apache release the fix


Este es alguno de los workarounds que hay para evitar el ataque (por si hay algun administrador de servidores web aqui):

Create a .htaccess file in the httpd docs main folder with the following code:
RewriteEngine on
RewriteCond %{HTTP:range} !(^bytes=[^,]+(,[^,]+){0,4}$|^$) [NC,OR]
RewriteCond %{HTTP:request-range} !(^bytes=[^,]+(,[^,]+){0,4}$|^$) [NC]
RewriteRule .* - [F]


This workaround uses mod_rewrite to forbid GET|HEAD request with multiple ranges in the Range HTTP header. I have also enabled the logging mechanism for debugging reasons.

Problem solved!
He usado ese parche en varios proyectos y realmente funciona gotxi, aunque es recomendable incluir bastantes mas lineas en el .htaccess para solventar otras deficiencias de seguridad de apache. ;)
6 respuestas
Archivado
Volver a El Buffer