最近騒がれている『Apache Killer』の対策方法まとめましたので書いておきます。
『Apache Killer』とは
http://journal.mycom.co.jp/news/2011/09/01/073/
『Apache Killer』とは
http://journal.mycom.co.jp/news/2011/09/01/073/
バージョンを2.2.20に上げたらいいらしいんですが、
まだソースしか出回ってないみたいなので、yum は間に合ってないみたいです。
なので追記用のCONFを作成します。
vi /etc/httpd/conf.d/apachekiller.conf
中身は以下のとおり
========================================================
# Drop the Range header when more than 5 ranges.
# CVE-2011-3192
SetEnvIf Range (?:,.*?){5,5} bad-range=1
RequestHeader unset Range env=bad-range
# We always drop Request-Range; as this is a legacy
# dating back to MSIE3 and Netscape 2 and 3.
RequestHeader unset Request-Range
========================================================
これでapache再起動すればOKです。
チェックは、エロイ人が作ってくれたスクリプトを使いました。
http://www30.atpages.jp/~uruweb/2011/08/31/apache-killer-test-scrip/
動かしてみたのがこちら。
http://flagsystem.co.jp/test/apache_range_test.php
画像のURLとかを指定して「対策済み」と出たらOKです。
