On Tue, 18 Jun 2002, Igor Sysoev wrote:
> On Tue, 18 Jun 2002, Igor Sysoev wrote:
>
> > On Tue, 18 Jun 2002, Igor Sysoev wrote:
> >
> > > On Tue, 18 Jun 2002, Yury Bokhoncovich wrote:
> > >
> > > > Ну, и что общественность по этому поводу думает?
> > >
> > > На самом деле, vulnerability не так страшна, как её малюют.
> > >
> > > Во всех стандартных модулях, которые читают тело запроса -
> > > mod_cgi, mod_proxy, mod_isapi - при chunked возвращается ошибка.
> > > В mod_accel, кстати, тоже. Насколько я знаю, ни один бразуер это
> > > просто не поддерживает.
> > >
> > > Единственное место, где в стандартном Apache воспринимается
> > > chunk'нутое тело запроса - это ap_discard_request_body().
> > > Но там используется 8K буфер, а его размер просто не попадает под
> > > vulnerability.
> >
> > Взглянув на патч ещё раз, заметил, что vulnerability проявляется
> > только при размере буфера больше 2G. Я сильно сомневаюсь, что
> > где-то используются такие буфера.
> >
> > Так что это не vulnerability, а пшик. А шуму-то:
> >
> > Apache: ISS X-Force has discovered a serious
> > vulnerability in the default version of Apache HTTP
> > Server . A flawed mechanism that calculates the size of
> > "chunked" encoding may lead to modified Web content,
> > denial of service, or further compromise. Apache
> > accounts for over 63% of all active Web sites.
>
> Взглянув на патч ещё раз, заметил, что vulnerability всё-таки есть.
> В заблуждение ввёл именно вид патча. То есть, с точки зрения
> читабельного кода cast в патче стоит не в том месте.
> Но проблему он решает.
Ну и в дополнение. Счастливые обладатели Russian Apache могут
не беспокоиться при условии, что он не выключен с помощью
CharsetDisable on
Игорь Сысоев
=============================================================================
= Apache-Talk@lists.lexa.ru mailing list =
Mail "unsubscribe apache-talk" to majordomo@lists.lexa.ru if you want to quit.
= Archive avaliable at =
