CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.x - LowPriority

数日前からFull Disclosureで騒がれてたけどやっとCVE採番されたので。 以前のISC BINDの脆弱性(CVE-2011-1910)とかに比べるとzero-day状態に なったにも関わらずApache側の動きが遅い気もします。(表に見えてなかっただけ？) アドバイザリは以下 CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.x http://mail-archives.apache.org/mod_mbox/httpd-announce/201108.mbox/raw/%3C20110824161640.122D387DD@minotaur.apache.org%3E/ DoSだけといってしまえばそれまでですが、Apache HTTPDでは久しぶりに 現時点で出ている全バージョンが対象 (2011/

[kuniharumaki]

なんか内容の割にあんまり盛り上がっていないような気がする。

[Mariyudu]

Apache 脆弱性 CVE-2011-3192 に関する日本語情報

[wushi]

CVE-2011-3192(ApacheKiller脆弱性)まとめ

[nilab]

CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.x - LowPriority:「プロセスの肥大化を伴うので、実メモリ消費して更にスワップも使い尽くしてOS毎激重になったあげくLinuxとかの場合はOOM Killer発動」

[TrinityT]

ApacheKillerの脅威と、発生原因部分ソースの説明。素晴らしいエントリ。

[rin51]

Rangeに加えてRequest-Rangeが追加されているという話題

[tosebro]

ApacheのゼロデイDoS。大変なことじゃないのこれ。

[raimon49]

Range header DoS

[meets623]

CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.x - LowPriority

[ockeghem]

Apache killerの詳しい解説。参考になる

[rryu]

ApacheのRange攻撃脆弱性は、作り出したmultipartなレスポンスを一度メモリ上に持つので、ワーカーのフットプリントが大きくなってリソース不足に陥るということらしい。