Denegación de servicio en Apache a través de Range header


Se ha publicado un sencillo exploit que permite provocar una denegación de servicio en todas las versiones de Apache. Esto significa que se puede dejar sin servicio a los servidores web Apache con la configuración por defecto. De nuevo el responsable del descubrimiento ha sido Kingcope, que ha dado todos los detalles técnicos sin avisar previamente. En realidad el fallo se conocía desde 2007.





El día 19 de agosto, viernes, Kingcope hizo público un sencillo exploit en Perl que permitía provocar una denegación de servicio en Apache desde un solo sistema. Cuando menos, el rendimiento del servidor atacado se reducían considerablemente. Hacía mucho tiempo que no se publicaba un exploit que permitiese "echar abajo" un servidor entero desde un solo ordenador. Lo curioso es que Michal Zalewski descubrió algo muy parecido en enero de 2007. Usando un mismo vector de ataque, se conseguía un efecto diferente: Zalewski agotaba el ancho de banda, mientras que Kingcope consigue agotar los recursos físicos del servidor. Al no publicarse exploit entonces, sino simplemente explicar un comportamiento "extraño", no recibió demasiada atención.

No es la primera vez que Kingcope publica sin previo aviso. En septiembre de 2009 hizo público un fallo en IIS 5. En noviembre, una elevación de privilegios en FreeBSD y en julio, un grave problema en OpenSSH de FreeBSD. Siempre lleva hasta sus últimas consecuencias el "full disclosure" y suele enviar sin más a las listas de seguridad todos los detalles del problema. Con Apache no ha hecho una excepción.

La vulnerabilidad se encuentra en el módulo mod_deflate. Consiste en el agotamiento de recursos al crear múltiples peticiones con la cabecera Range manipulada. Según el exploit publicado se envía esta cabecera con la siguiente secuencia 0-,5-0,5-1,5-2...5-1299. Esto provoca que el servidor genere múltiples respuestas que son fragmentos de un mismo recurso, en definitiva, se trata de peticiones manipuladas de rangos de bytes de un mismo archivo o recurso a descargar. Además la petición se realiza con la cabecera "Accept-Enconding: gzip" que hace que el servidor vulnerable intente comprimir cada fragmento solicitado, consumiendo memoria y tiempo de procesador hasta que el proceso deja de responder.

"mod_deflate" es un módulo empleado por Apache para comprimir contenido antes de ser devuelto al cliente. Este módulo es instalado y habilitado por defecto en la instalación base de Apache.

No existe parche oficial por parte de Apache aunque sí que se han hecho públicos diferentes métodos para mitigar el ataque y la promesa de un parche en 48 horas (lo que acumularía una semana tras el aviso). Se recomienda seguir las contramedidas que describe Apache, disponibles en la dirección:

http://mail-archives.apache.org/

Más Información:

Apache httpd Remote Denial of Service (memory exhaustion)
http://www.exploit-db.com/exploits/17696/

Revival of an Unpatched Apache HTTPD DoS
http://isc.sans.edu/diary.html?storyid=11449

Borja Luaces
http://www.hispasec.com



Otras noticias de interés:

Las redes del U.S. Army, fácilmente hackeables, según una consultora
Se suponía que las computadoras militares eran completamente inaccesibles. Suposición incorrecta. Miles de computadoras del Ejército de EE.UU. con información sensible están accesibles desde Internet. Técnicas militares codificadas, misivas ent...
INFORMACIÓN SOBRE REGISTRO
Informamos a todos los usuarios que se han registrado desde que se instalo el nuevo sistema, que deben pedir recuperar password en (Contraseña Olvidada) debido a que había un error, por ello, muchos no han podido accesar. Les pedimos disculpas....
Rapidshare obligado a filtrar archivos
La Alta Corte Regional de Hamburgo ha ordenado a Rapidshare a establecer un sistema de filtrado que evite a los usuarios subir ficheros protegidos por derechos de autor....
Comprometido contenido en el sitio del código fuente de Linux
Piratas informáticos accedieron al root de un servidor conocido con el nombre de Hera, el cual fue comprometido....
Ya no es Pantalla Azul. Nuevo virus culpable de la Pantalla Negra de Windows 7
Desde el pasado martes, algunos usuarios de Windows 7 comenzaron a notar problemas con el sistema operativo, ya que les impedía un normal arranque del ordenador, desapareciendo de la pantalla los iconos del escritorio y quedando únicamente un fondo...
Ejecución de código script arbitrario con RealOne
Se ha anunciado una vulnerabilidad en el manejo de archivos SMIL del reproductor RealOne. Si bien requiere engañar al usuario para que reproduzca dichos archivos, este problema puede llevar a la ejecución de código arbitrario en la máquina de la ...
1,5 millones de cuentas de Facebook, puestas en venta por un hacker
VeriSign iDefense alerta de que el ciberdelincuente Kirllos comercializa nombres y contraseñas de una ingente cantidad de usuarios de la red social....
Boletines de seguridad publicados por Microsoft en septiembre
El martes 14/09/2010 Microsoft ha publicado nueve boletines de seguridad (del MS10-061 al MS10-069) correspondientes a su ciclo habitual de actualizaciones. Según la propia clasificación de Microsoft cuatro de los boletines presentan un nivel de gr...
CiberGuerra: Anonymous contraataca despúes del cierre de MegaUpload
Luego que el FBI (Federal Bureau of Investigation) ha cerrado el conocido portal de almacenamiento en línea MegaUpload y sus páginas asociadas, Anonymous respondió con ataques a las entidades relacionadas en mayor o menor medida con el cierre de M...
MPAA: Es hora de detener la obstrucción contra SOPA
SOPA simplemente se ha parado, unos días más, quizá unas semanas, pero el debate continúa y la declaración de la Casa Blanca y posterior paralización de la Cámara de Representantes es sólo un punto y seguido en el debate. ...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • denegacion
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • header
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • range
  • sabayon
  • seguridad
  • servicio
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • traves
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra