Oracle voert ongeplande patchronde uit om Apache-lek

Oracle heeft eind vorige week onverwacht een beveiligingsupdate uitgegeven voor zijn Fusion-middleware en Application Server-producten. De patch bevat een geüpdatete versie van de Apache-webserver, die vatbaar bleek voor een dos-aanval.

Eind augustus bracht de Apache Software Foundation versie 2.2.20 van zijn webserversoftware al uit om een eerder die maand ontdekt lek te dichten. De kwetsbaarheid kwam zowel voor in de 1.3.x- als in de 2.x-versies van Apaches httpd-server en betrof de manier waarop de software overlappende byte ranges in http-requests afhandelt. Enkele dagen later werd versie 2.2.21 uitgegeven, die ook aan het lek gerelateerd was.

Door de bug zou een webserver met een denial of service-aanval onderuit gehaald kunnen worden. Op de Apache-mailinglist werd het proof-of-concept-script Apache Killer gepubliceerd. De kwetsbaarheid in de serversoftware zou al actief misbruikt worden voor dos-aanvallen.

Ook Oracle waarschuwde bij zijn beveiligingsupdate voor de risico's en bevestigde dat het lek actief wordt misbruikt. De softwarefabrikant heeft besloten de update tussentijds te publiceren en niet te wachten tot de geplande patchdag. Oracle hanteert deze updatecyclus, vergelijkbaar met Microsofts Patch Tuesday, al sinds begin 2005 en is pas vier keer eerder van dat schema afgeweken.

Reacties (7)

[Doneltac]

Inderdaad zeer verstandig dat ze deze patch hebben uitgebracht, de risico's waren aanzienlijk:

The vulnerability left over 60% of the world’s websites exposed to a denial of service attack. The problem revolved around how Apache handled byte range headers and due to a tool, which was published to demonstrate the problem, an attack could be easily launched and cause very significant memory and CPU usage on the target server.

[Verwijderd]

Vraag blijft toch in hoeverrre webserver gepatched worden.
In de praktijk is al eerder gebleken dat heel veel beheerders van webservers heel traag zijn met updaten.

[robinverl]

Iemand enig idee of deze al ergens in een repository te vinden is voor CentOS 5.x ?

[pjottum]

Apache is allang gepatcht, die patch zal wellicht in de centos-repo zitten.

Patches voor Oracle producten zal je daar niet vinden.

[CrazyJay]

Overigens is er ook voor Oracle enterprise linux een public yum repository. Die bevat de updates ook al voor de EL 5 en 6 versies. (voordat je het vraagt: google eens op Oracle public yum repo)

Overigens moet ik een beetje hikken bij de titel van dit bericht: het is geen ongeplande patchronde; het is een 'onverwachte'. Het downloaden en installeren van de patch is immer iets dat de server beheerders nog steeds naar eigen inzicht kunnen inplannen.