Sivusto käyttää avoimen lähdekoodin Apache-palvelinta, versiota 1.3.27.
Sen haavoittuvuudet:
"Fixed in Apache httpd 1.3.27
important: Buffer overflows in ab utility CVE-2002-0843
Buffer overflows in the benchmarking utility ab could be exploited if ab is run against a malicious server
Update Released: 3rd October 2002
Affects: 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0
important: Shared memory permissions lead to local privilege escalation CVE-2002-0839
The permissions of the shared memory used for the scoreboard allows an attacker who can execute under the Apache UID to send a signal to any process as root or cause a local denial of service attack.
Update Released: 3rd October 2002
Affects: 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0
low: Error page XSS using wildcard DNS CVE-2002-0840
Cross-site scripting (XSS) vulnerability in the default error page of Apache 2.0 before 2.0.43, and 1.3.x up to 1.3.26, when UseCanonicalName is "Off" and support for wildcard DNS is present, allows remote attackers to execute script as other web page visitors via the Host: header.
Update Released: 3rd October 2002
Affects: 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0
Muualla käyttänevät jo monen version päässä olevaa uusinta 2.2.4-versiota:
http://httpd.apache.org/
Sen haavoittuvuudet:
"Fixed in Apache httpd 1.3.27
important: Buffer overflows in ab utility CVE-2002-0843
Buffer overflows in the benchmarking utility ab could be exploited if ab is run against a malicious server
Update Released: 3rd October 2002
Affects: 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0
important: Shared memory permissions lead to local privilege escalation CVE-2002-0839
The permissions of the shared memory used for the scoreboard allows an attacker who can execute under the Apache UID to send a signal to any process as root or cause a local denial of service attack.
Update Released: 3rd October 2002
Affects: 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0
low: Error page XSS using wildcard DNS CVE-2002-0840
Cross-site scripting (XSS) vulnerability in the default error page of Apache 2.0 before 2.0.43, and 1.3.x up to 1.3.26, when UseCanonicalName is "Off" and support for wildcard DNS is present, allows remote attackers to execute script as other web page visitors via the Host: header.
Update Released: 3rd October 2002
Affects: 1.3.26, 1.3.24, 1.3.22, 1.3.20, 1.3.19, 1.3.17, 1.3.14, 1.3.12, 1.3.11, 1.3.9, 1.3.6, 1.3.4, 1.3.3, 1.3.2, 1.3.1, 1.3.0
Muualla käyttänevät jo monen version päässä olevaa uusinta 2.2.4-versiota:
http://httpd.apache.org/
Vastaukset 13
Vanhimmat
Ensin keuhkotaan haavoittuvuuksista ja sitten listataan kolme, jotka eivät koske haukuttua versiota . . .
Hyvin menee, jatkakaa samaan malliin!
Linuxia ei saa moittia(ko) ?
Toimiiko sivusto mielestäsi hyvin?
>Linuxia ei saa moittia(ko) ?
Tottakai saa jos on syytä. Tämä on kuitenkin ainoa paikka missä on ongelmia.
Ei mikään mahti maailmassa, ei edes Linux, voi estää käyttäjiä tekemästä sovelluksia jotka eivät toimi. Tässä on siitä hyvä esimerkki.
No tämä sivustohan meni nyt aivan paskaksi, kun ilmeisesti hätäpäissään ovat yrittäneet 'säätää' jotain tuloksella, että meni vain vielä pahemmin reisille. Eipä se Apachen versio ylläpidon kädettömyyteen vaikuta sitä eikä tätä . . .
Keskusteluketjun alkuperäinen aloittaja vaan ei osaa englannin sisälukutaitoa ensinkään, se tässä pani hiukan huvittamaan. :D
Miten se lukutaito sinulla?
Ap. viestin teksti näkyy olevan em. otsikon alta:
Apache httpd 1.3 vulnerabilities
http://httpd.apache.org/
Onhan se hyvä että sinä et ole ylläpidossa kun et osaa edes lukea: 1.3.27 on PALJON uudempi kuin 1.3 ja Hegulin alkuperäisessä jutussa ei mainittu YHTÄÄN tietoturvaongelmaa, joka olisi koskenut Apachen versiota 1.3.27.
oikein pelottaa, kuinka helposti ihmisten heikoimmat puolet paljastuvat. Huokaus.
sovellukseen!
"Linuxia ei saa moittia(ko) ? "
Mitäs tekemistä Apachella on linuxin kanssa?? Oletko sä jokin linux-vastaisen järjestön jäsen vai häh?
"Toimiiko sivusto mielestäsi hyvin?"
Ei toimi mutta vika ei olekaan linuxissa vaan sovelluksessa nimeltä Apache. Sitäpaitsi Apachen saa myös windowsille joten..
>...uusinta 2.2.4-versiota
Apache itse on käyttänyt jo viime vuoden lopusta versiota 2.3.0
Vanha Apache voi vielä hyvin. Debian pakettivarastostakin löytyy vielä ykkös-Apache versioltaan 1.3.34-4.1.
Haittapuolena tuntuu olevan vain se, että asiantuntemattomissa käsissä eivät toimi.
http://httpd.apache.org/docs/1.3/
http://httpd.apache.org/docs/2.2/
Muistaakseni 1.3 oli turvallisempi kuin kakkosversio jossain suhteessa, en mene kyllä takuuseen.