업데이트 : 2011 년 10 월 3 일
Range 헤더 처리와 관련된 서비스 거부 공격을 허용하는 Apache HTTPD Server 2.X 시스템에는 취약점 (CVE-2011-3192)이 있습니다. Range 헤더는 파일 다운로드를 분할하고 다운로드를 인터럽트하거나 재개하는 데 사용되는 헤더이며 다운로드 콜로세움 콜로세움 토토를 지정합니다. 취약점은이 콜로세움 콜로세움 토토 헤더가 쉼표로 구분 된 콜로세움 콜로세움 토토 사양이 너무 많으면 Apache HTTPD 서버가 서비스 거부에 있다는 것입니다.
Apache HTTPD 서버를 기반으로 한 Hitachi 제품 도이 취약점의 영향을받습니다.
기본 값 : 7.8
공격 소스 분류 : 네트워크
공격 조건 복잡성 : 낮음
공격 전에 필요한 인증 : 필요 없음
기밀성 영향 (C) : 없음
무결성에 미치는 영향 (i) : 없음
가용성 영향 (a) : 완전히
현재 값 : 6.7 (2011 년 9 월 7 일 기준)
공격 가능성 : 공격 할 수 있습니다
사용 가능한 측정 수준 : 임시 조치
취약성 정보 신뢰성 : 개발자가 정보를 확인했습니다
그림 1 : 취약성을 다루는 방법 (CVE-2011-3192)
잘못된 HTTP 요청을받는 HTTPD 서버 프로세스는 서비스 거부에 속할 수 있습니다. 결과적으로 전체 서버가 서비스 거부가 될 수 있습니다.
콜로세움 토토 헤더 처리로 인한 취약점을 수정하거나 적용하는 버전/보안 업데이트를 적용하십시오 [5. 해결 방법].
Apache httpd 2.2.20에서 고정
http : //httpd.apache.org/security/vulnerabilities_22.html#2.20
+ hitachi 웹 서버
+ Hitachi 웹 서버를 구성 요소로 포함하거나 사용하는 제품
+ Cosminexus를 포함하거나 구성 요소로 사용하는 제품
Hitachi 웹 서버의 범위 헤더로 인한 DOS 취약성 : 소프트웨어
+ Hitachi IT 운영 제품
Hitachi IT 운영 토토나라 먹튀검증사이트 범위 헤더로 인한 DOS
+ JP1 제품
JP1 토토사이트 공지의 범위 헤더로 인한 DOS 취약성
+ Hitachi Command Suite 제품
Hitachi Command Suite 레고토토 범위 헤더로 인한 DOS 취약성 : 소프트웨어
+ Alaxala Products
* AX6000S/AX3800S/AX3600S/AX2400S 시리즈
* AX7800S/AX7800R/AX7700R/AX5400S/AX2000R/AX2500S/AX1200S/AX620R 시리즈
Apache HTTPD 서버를 사용한 해결 방법 설명. 개별 제품의 해결 방법은 [4를 참조하십시오. 솔루션].
Apache HTTPD 보안 자문 (업데이트 3- 최종)
Range Header DOS 취약성 APACHE HTTPD 2.2.20 이전.
http : //httpd.apache.org/security/cve-2011-3192.txt
콜로세움 토토 헤더를 허용하지만 쓸 수있는 항목 수로 상한을 설정하는 설정 (아래 예에서 상한 = 5 결과)은 HTTPD 서버 구성 파일 httpd.conf에 추가됩니다. 운영적으로 해결 방법은 영향이 가장 적습니다.
---- httpd.conf -----
# setenvif_module (setenvif)에 setenvif_double
# 5 미만의 결과가 있는지 확인하십시오.
# 5보다 큰 경우 headers_module (requestheader)을 사용하십시오.
# 콜로세움 토토 헤더를 무시하십시오.
setenvif 콜로세움 토토 (? :,.*?) 5,5
Requestheader unset 콜로세움 토토 env = bad-range
# 요청 콜로세움 토토 헤더는 오래된 브라우저에 있습니다 (MSIE3, Netscape 2 또는 3)
# 사용되었습니다. 요청 콜로세움 토토 헤더를 무시하십시오.
Requestheader unset request-range
# 한계를 초과하는 액세스 로그를 가져옵니다 (한계 로그 초과).
CustomLog logs/range.log common env = bad-range
---- httpd.conf -----
# rewrite_module (Rewritecond)을 사용하여 콜로세움 토토 헤더의 항목 수를 설정
# 5 미만의 결과가 있는지 확인하십시오.
# 5보다 큰 경우 rewrite_module (rewriterule)을 사용하십시오.
# 오류를 반환합니다 (403 금지).
RewriteEngine on
rewritecond %http : range
Rewriterule.* - [f]
# 요청 콜로세움 토토 헤더는 이전 브라우저에 있습니다 (MSIE3, NETSCAPE 2 또는 3)
# 사용되었습니다. 요청 콜로세움 토토 헤더를 무시하십시오.
requestHeader unset request-range
HTTPD 서버 구성 파일 httpd.conf에 콜로세움 토토 헤더를 추가 할 수없는 설정을 추가하십시오. 그러나 브라우저에서 다운로드를 중단 또는 재개하는 기능은 더 이상 사용할 수 없습니다 (그림 2).
---- httpd.conf -----
# headers_module (requestHeader) 사용 콜로세움 토토 및 요청 콜로세움 토토
# 헤더를 무시하십시오.
Requestheader unset 콜로세움 토토
requestHeader unset request-range
그림 2 : 다운로드 서스펜션 및 Firefox에서 재개의 예
책임 : Terada, Onishi/Hirt
글로벌 사인 :
중요한 전자 문서의 디지털 서명. 홍보에도 유용합니다
