ヨタの日々

_ 午前

0930 起床

1030 おひる。たことニンニクのスパゲティ

_ 午後

1330 セキュリティほげ＠みなとみらい線

_ 夜

1700 Cリハビリ

2000 RR7

2100 飯。牛丼

_ Apache killer

• CVE-2011-3192 Range header DoS vulnerability Apache HTTPD 1.3/2.x - LowPriority
• どさにっき - Apache killer

   /* Check for Range request-header (HTTP/1.1) or Request-Range for
    * backwards-compatibility with second-draft Luotonen/Franks
    * byte-ranges (e.g. Netscape Navigator 2-3).
    *
    * We support this form, with Request-Range, and (farther down) we
    * send multipart/x-byteranges instead of multipart/byteranges for
    * Request-Range based requests to work around a bug in Netscape
    * Navigator 2-3 and MSIE 3.
    */

   if (!(range = apr_table_get(r->headers_in, "Range"))) {
       range = apr_table_get(r->headers_in, "Request-Range");
   }

てな感じで、Range だけでなく、RFC 非標準の Request-Range というヘッダによっても同様の問題が起きるっぽい

セキュリティ勧告がアップデートされてるとのこと → Advisory: Range header DoS vulnerability Apache HTTPD 1.3/2.x (CVE-2011-3192)

適用した