Serwer Apache już zabezpieczony przed atakiem na TLS

Apache HTTP Web Server to najpopularniejszy serwer WWW na świecie. Znalezienie w nim luk to wyzwanie dla wszystkich specjalistów od bezpieczeństwa IT, zarówno tych blackhatowych jak i whitehatowych. Mają one bowiem dalekosiężne skutki, mając wpływ na miliony witryn w Sieci. Dlatego tak ważne są regularne aktualizacje Apache'a. W nowej wersji 2.2.15 załatano tyle krytycznych luk, że warto się jak najszybciej zainteresować aktualizacją.

Jakiś czas temu pisaliśmy o luce w TLS, która pozwala przeprowadzić atak man-in-the-middle na serwery IIS oraz Apache. Wydana aktualizacja serwera Fundacji wprowadza kilka zabezpieczeń, które chronią przed tą formą ataku. Najważniejszym z nich jest wykorzystanie kodu z najnowszej, zabezpieczonej już wersji OpenSSL (0.9.8.m) w module mod_ssl. Dodatkowo domyślna konfiguracja odrzuca teraz automatycznie wszystkie inicjowane przez klienta renegocjacje.

Rozwiązano również podatność na ataki Denial-of-Service (DoS) wymierzone w moduł mod_proxy_ajp, obsługujący system proxy. "mod_proxy_ajp zwraca niewłaściwy kod po napotkaniu błędu, wprowadzając backendowy serwer w stan błędu do momentu przekroczenia i wygaśnięcia limitu czasu (timeout). Napastnik może wysłać złośliwe żądania, aby wywołać ten problem, prowadząc do zablokowania usługi" – czytamy w oficjalnym komunikacie Fundacji.

W nowej paczce znalazły się również poprawki przeznaczone specjalne dla edycji Apache dla platformy Windows. Dotyczą one dotyczą modułu mod_isapi, służącego do obsługi rozszerzeń Internet Server. Był on podatny na ataki DoS – napastnik dzięki wysłaniu odpowiednio spreparowanego pakietu mógł usunąć mod_isapi z pamięci serwera, choć wskaźniki funkcji pozostawały na miejscu. Pozwalało to na skuteczne zawieszenie serwera.

Poprawioną wersję Apache'a można pobrać ze strony httpd.apache.org/download.cgi.

Źródło: ServerWatch.com

Podoba Ci się ten tekst? Powiedz o tym innym na Fb: lub na G+:

publikuj:

wydrukuj

skomentuj »

Komentarze

Aby dodać komentarz, musisz podać swój nick, treść komentarza oraz poprawnie przepisać oba słowa z obrazka (słowa muszą być rozdzielone spacją).
W treści komentarza można używać języka formatowania BBcode.