Denial of Service Attacke für Apache

Heute mittag vermeldete Heise Online, dass der Apache-Webserver mit einem einzigen Computer außer Gefecht zu setzen ist. An dieser Stelle erst einmal vielen Dank an Benedikt für das "Bekanntmachen" des Links

Das Problem betrifft alle Apache-Versionen (1.3, 2.x). Wir konnten es recht schnell nachvollziehen und haben kurzum auch ein eigenes Tool zum Testen CVE-2011-3192 geschrieben (schlichtweg weil meine Perl-Installation keinen Fork-Manager hat) mit dem es sich auch reproduzieren ließ. Einen offiziellen Patch für Apache scheint es noch nicht zu geben, wenngleich auch einige Lösungsansätze in der Diskussion sind.

Sei es das Schützen des Webservers mittels SetEnvIf:

SetEnvIf Range (,.*?){5,} bad-range=1
RequestHeader unset Range env=bad-range

... LimitRequestFieldSize:

LimitRequestFieldSize 200

... mod_rewrite:

RewriteEngine On
RewriteCond %{HTTP:range} !(^bytes=[^,]+(,[^,]+){0,4}$|^$)
RewriteRule .* - [F]

... oder mod_header: 

RequestHeader unset Range

Alternativ lässt sich das Problem auch über ein zusätzliches Modul beheben, sei es über das, dass wir selbst heute geschrieben haben, oder ein relativ ähnliches von einem Apache-Entwickler.

Wir raten ein entsprechendes Apache-Modul zu benutzen oder das Problem mittels mod_rewirte bzw. SetEnvIf zu adressieren!