[B! セキュリティ][Apache] rryuのブックマーク

SIOS Tech. Lab - エンジニアのためになる技術トピックス

ども！今回はGitHub ActionsでFTP経由デプロイができたので、備忘録的な共有をしておこうと思います。レンタルサーバーを無駄に腐らせている人がいれば、ちょっと試してみてはどうでしょうか？レンタルサーバーの良いと […]

rryu 2017/09/20

Limitディレクティブでメソッドを制限するとAllowレスポンスヘッダフィールドが返す値が壊れてメモリの内容が漏洩するという皮肉…

リンク

ApacheのAddHandlerはセキュリティ上の懸念から使用すべきではない - このブログはURLが変更になりました

元ネタはこちら。 Apache AddHandler madness all over the place Gentoo Bug 538822 どういうことか次のような指定は危険である。 AddHandler php5-script .php この時に指定される.phpはファイル名の末尾である必要はない。例えば、 aaa.php.html bbb.php.pngなどもphp5-scriptとして解釈されてしまうのだ。これは.XXX.YYYと複数の拡張子が書かれた場合、.XXXと.YYYもAddHandlerの対象となることが原因。ちなみに次のような場合にはphp5-scriptとして解釈されない。 ccc.php_foo (.php_fooとして解釈されるため) ddd.php_bar.html (.php_barと.htmlとして解釈されるため)実はこのことはApacheのドキュメン

rryu 2015/02/26

アップロードされたファイルを置くディレクトリで Options -ExecCGI すればいいだけだと思うのだが……

リンク

Apache CVE-2012-0883 - どさにっき 2012年4月18日(水)

2012年4月14日(土) ■ BIND + SoftHSM _ 雨ってイヤね。 _ SoftHSM をインストール。手順略。 _ openssl の pkcs#11 engineをインストール。freebsd なので ports/security/engine_pkcs11 を入れるだけ。テスト。 % openssl engine dynamic -pre SO_PATH:/usr/local/lib/engines/engine_pkcs11.so -pre ID:pkcs11 -pre LIST_ADD:1 -pre LOAD -pre MODULE_PATH:/usr/local/lib/libsofthsm.so -t (dynamic) Dynamic engine loading support [Success]: SO_PATH:/usr/local/lib/engine

rryu 2012/04/21

PATHもLD_LIBARARY_PATHも空の要素はカレントディレクトリと見なされるので適当に:で連結して作ると脆弱になってしまうという話。

リンク

Apache killerは危険～Apache killerを評価する上での注意～

Apacheの脆弱性(CVE-2011-3192)いわゆるApache killerが話題になっていますが、その脅威については一部誤解があるようです。以下は、非常に脅威とする報告の例です。一方今回のはプロセスの肥大化を伴うので、実メモリ消費して更にスワップも使い尽くしてOS毎激重になったあげくLinuxとかの場合はOOM Killer発動と、他のプロセスや場合によってはOSを巻き込んで逝ってしまいます。 CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.xより引用以下は、それほど脅威でなかったとする報告の例です。 pooh.gr.jp は結構頑丈だったので 60 並列でやっと CPU idle 30% まで減らせた。 Apache Killer (CVE-2011-3192) 対策 for CentOS 5

rryu 2011/08/28

つまりApache killerはサーバのリソースをきっちり使うようパフォーマンスチューニングされたApacheほどよく効くという。

リンク

CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.x - LowPriority

数日前からFull Disclosureで騒がれてたけどやっとCVE採番されたので。以前のISC BINDの脆弱性(CVE-2011-1910)とかに比べるとzero-day状態になったにも関わらずApache側の動きが遅い気もします。(表に見えてなかっただけ？) アドバイザリは以下 CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.x http://mail-archives.apache.org/mod_mbox/httpd-announce/201108.mbox/raw/%3C20110824161640.122D387DD@minotaur.apache.org%3E/ DoSだけといってしまえばそれまでですが、Apache HTTPDでは久しぶりに現時点で出ている全バージョンが対象 (2011/

rryu 2011/08/26

ApacheのRange攻撃脆弱性は、作り出したmultipartなレスポンスを一度メモリ上に持つので、ワーカーのフットプリントが大きくなってリソース不足に陥るということらしい。

リンク

はてなブックマーク

タグ

関連タグで絞り込む (1)

セキュリティとApacheに関するrryuのブックマーク (5)

お知らせ

今週のはてなブックマーク数ランキング（2024年5月第2週）

今週のはてなブックマーク数ランキング（2024年5月第1週）

月間はてなブックマーク数ランキング（2024年4月）

公式Twitter

キーボードショートカット一覧

はてなブックマーク

公式Twitter

はてなのサービス