Kwetsbaarheid maakt Apache gevoelig voor dos-aanvallen

Apache-gebruikers hebben een kwetsbaarheid in de opensource webserversoftware gevonden die benut kan worden om via een dos-aanval een webserver onderuit te halen. De bug in Apache zou in de praktijk al worden misbruikt.

De zogenaamde denial of service-kwetsbaarheid in de Apache httpd-server zou zitten in hoe de software http range requests afhandelt. Aanvallers kunnen naar Apache-servers die versie 1.3 en 2 draaien meerdere get-requests sturen waarin overlappende bytes ranges worden opgevraagd. Normaliter gebruiken browsers deze functie om een deel van een bestand of html-document op te vragen.

Door een fout in de afhandeling van dergelijke http-requests raakt het werkgeheugen vol en wordt de webserver onbereikbaar als er voldoende pakketjes naar een kwetsbare server worden verstuurd. De bug in Apache, die al omschreven wordt als 'Apache Killer', is afgelopen weekend aangemeld op de Seclists-mailinglist. Ook is een script gepost waarin een dos-aanvalsmethode wordt beschreven.

Apache heeft aangekondigd dat het binnen enkele dagen een update wil uitbrengen om het probleem te verhelpen, terwijl er tevens een aantal tijdelijke oplossingen zijn gepubliceerd om dergelijke dos-aanvallen tegen te gaan. Desondanks zou de kwetsbaarheid in de praktijk al misbruikt worden voor het uitvoeren van dos-aanvallen. Een enkele pc zou al volstaan om met gemanipuleerde http-requests een webserver op de knieën te krijgen.

Opmerkelijk is dat de kwetsbaarheid in de verwerking van range requests al sinds januari 2007 bekend was, maar dat het gat niet is gedicht. Ook Microsofts IIS-webserver zou op een soortgelijke manier aangevallen kunnen worden, maar het aantal Apache-webservers - naar schatting 235 miljoen - is aanzienlijk groter. Microsoft laat aan The Register echter weten dat IIS 6.0 uit 2003 en hoger niet gevoelig is voor de aanvalsmethode omdat er in de code restricties zijn opgelegd bij het afhandelen van range requests.