Релиз http-сервера Apache 2.2.20 с устранением DoS-уязвимости31.08.2011 12:45

Доступен релиз Apache 2.2.20, в котором устранена уязвимость, позволяющая удаленно инициировать отказ в обслуживании из-за исчерпания всей доступной памяти. Кроме того, в новой версии устранены недоработки в mod_filter, mod_authnz_ldap и mod_reqtimeout.

Приводившая к DoS-уязвимости ошибка связана с тем, что при обработке запроса, содержащего большое число диапазонов (например, "Range:bytes=0-,5-1,5-2,5-3,...,5-1000") в сочетании с использованием gzip-сжатия отдаваемого контента, расходуется слишком много памяти. Например, если в заголовке Range передана тысяча диапазонов, то Apache пытается отдельно сжать каждый диапазон, выделяя для каждой операции избыточный по размеру буфер. Решение проблемы реализовано довольно спорным способом: если сумма всех диапазонов больше оригинального файла, заголовок Range игнорируется и отправляется полный файл.