Hlavní navigace

Špatně opravená chyba v rewrite modulu webového serveru Apache

Sdílet

Adam Štrauch 28. 11. 2011

Začátkem října byla objevena bezpečnostní díra ve webovém serveru Apache, která umožňovala dostat se ke strojům nebo službám, ke kterým přímý přístup neexistoval. Chyba se nacházela v modulu mod_rew­rite. Chvíli na to byl vydán patch, který problém řešil. Patch ale nepodchytil všechny alternativy a stále existuje postup, jak se k jinak schovaným webovým serverům dostat.

Našli jste v článku chybu?
  • Aktualita je stará, nové názory již nelze přidávat.
  • 28. 11. 2011 11:32

    Jan Forman

    Spíš mi příjde divný, že někdo tohle považuje za bezpečný a používá to.
    Proč má povolený mod_proxy to už je pro mě úplně záhada. Při normálním uvažování a konfiguraci ten problém vlastně ani neexistuje.

  • 28. 11. 2011 17:25

    chirana (neregistrovaný) ---.net.upcbroadband.cz

    mod proxy mít povolený musíte, pokud používáte v rewrite rule [P]

  • 29. 11. 2011 8:01

    Jan Forman

    Tak to nepoužívám a nikdy používat nebudu. Proxy modul byl jeden z prvních které jsem odebral.
    Pokud budu chtít rozumnou reverzní-proxy Apache to rozhodně není.
    Ale to že to může být default povolené a lze takhle šahat do lokální sítě je nepříjemné. Naštěstí můj způsob práce způsobuje obcházení většiny bezpečnostních děr aniž bych je nějak opravoval.