HTTP-метод OPTIONS может привести к утечке памяти Apache-сервера

HTTP-метод OPTIONS может привести к утечке памяти Apache-сервера

Эксперт обнаружил ошибку при обработки HTTP-метода OPTIONS в Apache, она получила имя Optionsbleed. Такого рода уязвимости могут способствовать тому, что произвольные фрагменты памяти попадут в руки злоумышленников.

Исследователь определил уязвимый продукт с помощью HTTP-метода OPTIONS, отправляя его серверам. Серверы отвечали поврежденными заголовками, отображающими параметры конфигурации Apache. Затем, поскольку сам эксперт не мог воспроизвести похожую проблему на своих серверах Apache, он связался с их командой безопасности.

К счастью, разработчик Apache Джейкоб Чемпион (Jacob Champion) вник в суть проблемы и объяснил, что происходит. Оказалось, что Apache поддерживает директиву конфигурации Limit, которая позволяет ограничить доступ к определенным HTTP-методам конкретному пользователю. В том случае, если вы устанавливаете директиву Limit в файле .htaccess для HTTP-метода, который не зарегистрирован глобально на сервере, тогда происходит ошибка.

После этих объяснений эксперт смог сам воспроизвести уязвимость.

В сущности, Optionsbleed представляет собой ошибку, которая вызывает формирование поврежденного заголовка Allow в ответ на запросы HTTP OPTIONS. Это может привести к утечке части произвольной памяти из серверного процесса, который может содержать важные данные.

Ошибка появляется, если веб-мастер пытается использовать директиву Limit с недопустимым методом HTTP.

Пример .htaccess:

<Limit abcxyz>

</ Limit>

Если вы используете веб-сервер Apache, вам следует его обновить. Большинство дистрибутивов должны к настоящему времени иметь обновленные пакеты, содержащие патч. Кроме того, исправление можно найти здесь (для Apache 2.2 здесь).

К сожалению, команда безопасности Apache не назвала точные сроки выпуска испарвлений.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Автор 2500 атак с применением шифровальщика REvil присел в США на 13 лет

Два дня назад в Техасе огласили приговор по делу о вымогательстве с помощью шифровальщика REvil. Решением суда 24-летний украинец Ярослав Васинский проведет за решеткой 13 лет и 7 месяцев, а также перечислит в казну свыше $16 млн в возмещение ущерба.

Согласно свидетельским показаниям, уроженец Украины, взяв в аренду REvil/Sodinokibi, провел более 2500 атак в разных странах. Общая сумма выкупа, который он требовал за дешифратор, превысила $700 миллионов.

Плату злоумышленник взимал в цифровой валюте и публиковал данные жертв, когда те отказывались выкупать заветный ключ. Он также использовал специализированные криптосервисы (миксеры), чтобы скрыть источник доходов.

В США Васинскому инкриминировали преступный сговор, мошенничество, нанесение вреда чужим компьютерам и отмывание денег. Задержали его в Польше, затем по договору об экстрадиции переправили за океан; свою вину украинец признал по всем вмененным эпизодам.

По данному делу проходит еще один фигурант — Евгений Полянин из России; найти его пока не удалось. В расследовании и оперативно-разыскных мероприятиях помимо американской стороны принимали участие Европол, Евроюст, правоохранители семи европейских стран, Канады, Австралии и Украины. Экспертную поддержку блюстителям правопорядка оказали Microsoft, Bitdefender и McAfee.

Напомним, в России тоже открыто и рассматривается дело о REvil (в рамках ч. 2 ст. 187 и ч. 2 ст. 273 УК РФ). Ответчиками числятся восемь человек — предположительно участники и главарь ОПГ. Поскольку сотрудничество ФСБ с американскими коллегами приостановилось, весомые свидетельства преступной деятельности получить не удалось.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru