Oracle защитила от "Apache Killer" свои серверные продукты

Oracle защитила от "Apache Killer" свои серверные продукты

Несколько недель назад, в конце августа, компания исправила опасную уязвимость в веб-сервере Apache, результатом злонамеренного использования которой мог стать отказ в обслуживании. Теперь же выпущено внеочередное обновление для серверных решений Fusion Middleware и Application Server; они основаны на все том же Apache, а, следовательно, уязвимы для аналогичной атаки.


Напомним, что эксплойт-код под условным названием "убийца Apache" (Apache Killer) стал известен благодаря собственной эффективности: один персональный компьютер-клиент мог нарушить работоспособность любого сервера, работающего под управлением Apache. Из-за ошибок в механизме диапазонной загрузки отправка множества запросов на перекрывающиеся байтовые диапазоны вызывала неконтролируемый рост потребления системных ресурсов, что в конце концов приводило к отказу в обслуживании. До сей поры злоумышленники могли осуществить подобное нападение и на вышеупомянутое серверное ПО.

Исправление выпущено для Oracle Fusion Middleware 11g Release 1 (версии 11.1.1.3.0, 11.1.1.4.0, 11.1.1.5.0), а также для Oracle Application Server 10g Release 3 (10.1.3.5.0) и Release 2 (10.1.2.3.0). В последнем случае уязвимость существует только тогда, когда с прилагаемого компакт-диска устанавливался Oracle HTTP Server 10g на базе Apache 2.0. Компонент Fusion Middleware присутствует также в программном продукте Oracle Enterprise Manager; если он не был исключен при инсталляции, то к нему также потребуется применить обновление. Компания-производитель рекомендует администраторам как можно скорее принять необходимые меры по доставке и установке патчей ввиду высокой степени риска.

Эксперты американской Национальной базы данных об уязвимостях, кстати, присвоили этому изъяну рейтинг опасности 7.8 - поскольку, по их мнению, результатом его эксплуатации может стать "полный отказ операционной системы в обслуживании". Сама компания-производитель в своем информационном бюллетене снизила данный показатель до 5.0, объяснив, что "полный отказ операционной системы невозможен ни на одной платформе, поддерживаемой Oracle". По словам ее официальных представителей, служба HTTP-сервера может пострадать от подобной атаки, но операционная система, под управлением которой работает сетевой узел, все равно продолжит работу.

eWeek

Письмо автору

Минцифры привяжет M2M сим-карты к устройствам и запретит им лишние звонки

Минцифры предложило обязать российские компании и ИП регистрировать M2M сим-карты и подключённое к ним оборудование в ЕСИА. Новые правила планируют запустить 1 сентября 2027 года. Банкоматы, терминалы, датчики и умные счётчики получат цифровые паспорта, а переставлять их сим-карты куда вздумается уже не выйдет.

Операторы смогут предоставить бизнесу единую платформу для управления M2M-номерами.

Через неё разрешат активировать и отключать сим-карты, проверять статус оборудования, определять его местоположение по базовым станциям и блокировать связь при утере или поломке устройства.

В ЕСИА потребуется внести номер, ИНН владельца, сведения об операторе, вид и название оборудования, его идентификатор и адрес установки. Передавать данные можно будет через «Госуслуги» или операторскую платформу.

Одну M2M сим-карту намерены жёстко привязать к конкретному устройству. Менять его идентификатор разрешат не чаще раза в месяц, кроме случаев поломки или утери. Если сведения об оборудовании разойдутся с данными ЕСИА, оператор должен будет приостановить обслуживание. Сначала исправьте цифровые бумаги, потом снова выходите в сеть.

Под контроль попадут и коммуникации. Компании смогут создавать белые списки номеров для звонков и СМС. Голосовые вызовы ограничат одной минутой, а массовые рассылки и автообзвон запретят, за исключением разрешённых отправителей. Менять контакты в белом списке также позволят не чаще раза в месяц.

В Минцифры объясняют инициативу борьбой с мошенниками. Сейчас M2M сим-карты позволяют пользоваться обычной мобильной связью, поэтому их применяют для анонимных обзвонов и рассылок. Ведомство хочет оставить таким картам их прямую работу: передавать данные из банкомата или счётчика, а не изображать подпольный кол-центр.

RSS: Новости на портале Anti-Malware.ru