Rangeヘッダの問題以外のApacheリバースプロクシでの問題

追記 タイトルが微妙にミスリーディングだったかもしれません。RangeヘッダのCVE-2011-3192はリバースプロキシとは無関係に起きる問題です。 Rangeヘッダの問題(CVE-2011-3192)が大きすぎて、Apacheにある他のリバースプロクシの問題の影が薄いので書いておきます。きっかけは、このITmediaの記事です。ふたつの別個の問題を混在して伝えている気がするからです(書き方が思わせぶりで詳細を書かないので真相は不明ですが)。 Apacheをリバースプロクシで使った時に次のふたつの問題が最近見つかっています。 mod_proxy_ajpとmod_proxy_balancerを組み合わせた時に起きる問題。不正リクエストを送ってDoS攻撃が可能 mod_proxyと特定の設定で起きる問題。内部サーバなどに外部からアクセスされる可能性がある 前者のCVE-2011-3348のバ

[tmatsuu]

CVE-2011-3368は実に面白い

[hiboma]

nrhd

[tinsep19]

GET @target.example.com/ HTTP/1.1のようなリクエストを送ると、リバースプロクシ設定の書き換え結果が次のようになります。http://internalserver@target.example.com/