[OFF] CAIS-Alerta:Vulnerabilidade no Apache causa negação de serviço

[Wendell Bento Geraldes]

---------- Mensagem encaminhada ----------
De: Centro de Atendimento a Incidentes de Seguranca <ca...@cais.rnp.br>
Data: 29 de agosto de 2011 16:26
Assunto: CAIS-Alerta:Vulnerabilidade no Apache causa negação de serviço
Para: pop...@cais.rnp.br, rnp-a...@cais.rnp.br, rnp...@cais.rnp.br


-----BEGIN PGP SIGNED MESSAGE-----

Prezados,

O CAIS está divulgando um alerta sobre uma vulnerabilidade no servidor web
Apache, que ao ser explorada causa negação de serviço (DoS).

Devido à uma vulnerabilidade reportada em 2007 e, até o momento da
divulgação deste alerta, ainda não corrigida em todas versões do Apache,
um atacante pode explorá-la causando um uso excessivo de recursos no
servidor, implicando assim em uma negação de serviço.

Esta vulnerabilidade pode ser explorada remotamente através de requisições
HTTP mal-formadas ou com a utilização do exploit específico desenvolvido
para a vulnerabilidade.


CORREÇÕES DISPONÍVEIS

Até o momento da divulgação deste alerta, não foram disponibilizadas
correções para esta vulnerabilidade. O CAIS recomenda a aplicação das
contramedidas abaixo para contenção dos ataques:

1. Atualizar o Apache para última versão disponível (2.2.19, 2.0.64 ou 1.3.42)
       - A contra-medida abaixo foi testada na versão 2.2.19.

2. Desabilitar a compresssão "on-the-fly":

2.1 Desabilitar o módulo mod_deflate:

       a) Editar o arquivo de configuração do apache e comentar a linha abaixo:

          LoadModule deflate_module lib/httpd/modules/mod_deflate.so

3. Utilizar o módulo mod_headers para desabilitar o uso de "Range headers":

       a) Verificar se o módulo mod_headers está sendo carregado:

          LoadModule headers_module lib/httpd/modules/mod_headers.so

       b) Adicionar a seguinte linha às sessões <Directory>, <Location> e <Files>:

          RequestHeader unset Range

       c) Limitar o tamanho do "request field" para algumas centenas
          de bytes. Note que esta alteração pode impactar no
          funcionamento de cookies e campos seguros, assim,
          recomenda-se testar a implementação desta solução em um
          ambiente de testes, antes de colocá-la em produção.
          A linha abaixo deve ser configurada por na sessão global ou
          por <VirtualHost>.

          LimitRequestFieldSize 200

4. Reiniciar o serviço httpd


SISTEMAS AFETADOS

São afetadas por esta vulnerabilidade as todas as versões iguais ou
inferiores à:
 . 2.2.19
 . 2.0.64
 . 1.3.x


MAIS INFORMAÇÕES

. Revival of an Unpatched Apache HTTPD DoS
 http://isc.sans.edu/diary.html?storyid=11449

. Apache Module mod_deflate
 http://httpd.apache.org/docs/2.2/mod/mod_deflate.html

. Apache LimitRequestFieldSize Directive
 http://httpd.apache.org/docs/2.2/mod/core.html#limitrequestfieldsize

. Apache mailing list: Advisory: Range header DoS vulnerability Apache HTTPD 1.3/2.x \(CVE-2011-3192\)
 http://mail-archives.apache.org/mod_mbox/httpd-announce/201108.mbox/%3C20110824161...@minotaur.apache.org%3E


Identificador CVE, ainda em revisão (http://cve.mitre.org):

CVE-2011-3192


O CAIS recomenda que os administradores mantenham seus sistemas e
aplicativos sempre atualizados, de acordo com as últimas versões e
correções oferecidas pelos fabricantes.

Os Alertas do CAIS também são oferecidos no formato RSS/RDF e no Twitter:
http://www.rnp.br/cais/alertas/rss.xml

Siga @caisrnp.


Atenciosamente,

################################################################
#   CENTRO DE ATENDIMENTO A INCIDENTES DE SEGURANCA (CAIS)     #
#       Rede Nacional de Ensino e Pesquisa (RNP)               #
#                                                              #
# ca...@cais.rnp.br       http://www.cais.rnp.br                #
# Tel. 019-37873300      Fax. 019-37873301                     #
# Chave PGP disponivel   http://www.rnp.br/cais/cais-pgp.key   #
################################################################
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.6 (GNU/Linux)
Comment: Made with pgp4pine 1.76

iQCVAwUBTlvoDukli63F4U8VAQFvQgQAqtdzwvrYxM6drvYfxtf+ohDiOXFg4UAt
ut5OORTAQnI9WieKNoAG9sBrmiA+6ZBtBwtDh9QvO29DErYGYUZ4egt5JOLojgL0
YqOJO88xDYgtbH1FIDxIFnao4VbmMc/y7LOF01wnGU2Hn1JUZTxbSzjQNzG40MOX
CEm0zQXiTWE=
=nQPd
-----END PGP SIGNATURE-----

--
Wendell Bento Geraldes
Professor de Informática
Currículo Lattes: http://lattes.cnpq.br/9294566100344395
Linux user #471850
Ubuntu user #22203
Comunidade Anapolivre - http://www.anapolivre.org