Уязвимость в apache

Заметили, какая версия? 1337

Leet! :)

Спасибо, что поправили, уже сам собирался:)

Кстати The Apache HTTP Server project thanks Mark Dowd of McAfee Avert Labs for the responsible reporting of this vulnerability.

Пропреарщики на что-то сгодились :)))

А куда же смотрели миллионы фанатов "opensource" все это время? Что еще раз доказывает или "фенечки" (не только рюшечки, а и дополнительная функциональность) или "почти отсутствие" багов, но никакого развития.

> Пропреарщики на что-то сгодились :)))

Тогда уж спасибо тому, кого ломанули и он настучал McAfee Avert Labs. :)

> Тогда уж спасибо тому, кого ломанули и он настучал McAfee Avert Labs. :)

Не, спасибо обычно говорят тем, кто сломал :))

Пожалуйста, но, блин, оформлять новости учиться надо. Загляните на opennet ради интереса.

> Не, спасибо обычно говорят тем, кто сломал :))

Обычно с ними вежливо говорят только в суде. :)

а где сплойт??? тестировать не будем?

а где сам патч взять-то? чем ломает на новуюверсию переходить

А почему в debian нет сообщения об уязвимости?

дебианщики просто не спешат... такова их натура ;))) с праздником

/me ушел нанимать индусов

А в IIS 6.0 так и не было обнаружено ни одной стоящей уязвимости... пора задуматься

Кстати, в данный момент ЛОР постоянно выдаёт мне пустое окно... Умельцы уже эесплуатируют уязвимость? %)

Да, зато в винде было найдено полно!

Почему-то не слышно воплей от жабописцев, дописывающих свой первый хелловорд после сравнения предлагаемых зряплат на джоп.ру в стиле "запускалка для пых-пых-пыха - дыра в безопасности, ламеры все те, кто еще не пересел на рулезный томкат"

это настораживает, скоро ЛОР совсем несмешным станет

Пусть меня поправят модераторы, но по моим субъективным ощущениям кол-во постов в единицу времени за последние полгода сократилось раза в 2-3...

> А в IIS 6.0 так и не было обнаружено ни одной стоящей уязвимости... пора задуматься

Почему это не обнаружено? Просто за пределами MS о них не принято говорить :)

Когда у тебя через Windows-Update заливается обновление безопастности Paint, как ты проверишь, для чего оно на самом деле? Вот так IIS они и патчат.

Издеваешься? Лень поднимать багтреки, но уязвимостей было прилично.

Кстати, гыгы :) Одна из вышедших заплаток под IIS6 на WU была настолько крива, что понижала его производительность по ощущениям процентов на 80, через пару дней её заменили.

> Почему-то не слышно воплей от жабописцев, дописывающих свой первый хелловорд после сравнения предлагаемых зряплат на джоп.ру в стиле "запускалка для пых-пых-пыха - дыра в безопасности, ламеры все те, кто еще не пересел на рулезный томкат"

Бугага!

> Пусть меня поправят модераторы, но по моим субъективным ощущениям кол-во постов в единицу времени за последние полгода сократилось раза в 2-3...

Не полгода, просто лето, каникулы. Все по деревням к бабушкам разъехались.

> А в IIS 6.0 так и не было обнаружено ни одной стоящей уязвимости... пора задуматься

Пора задуматься над тем, кто пишет такие сообщения... А уязвимость в IIS 6 были, хотя и не так много, как привыкли ожидать от Microsoft. Последняя уязвимость была найдена в этом месяце. Предпоследняя, как я понимаю, достаточно давно, хотя сразу возникает подозрение, может информация об уязвимостях скрывается в маркетинговых целях?

> А куда же смотрели миллионы фанатов "opensource" все это время? Что еще раз доказывает или "фенечки" (не только рюшечки, а и
> дополнительная функциональность) или "почти отсутствие" багов, но никакого развития.

В open-source кол-во таких багов в разы меньше чем в коммерческих продуктах аналогичной функциональности. Например сравни apache и IIS по кол-ву багов, и можешь удавится :)

А ссылка есть на PoC? Проверить себя хочется...

>а где сам патч взять-то? чем ломает на новуюверсию переходить

Тебе для какого Апача?

Можно взять из FreeBSD:

- для 1.3.36:

http://www.freebsd.org/cgi/cvsweb.cgi/~checkout~/ports/www/apache13/files/patch-
CVE-2006-3747?rev=1.1&content-type=text/plain

- для 2.0.58:

http://www.freebsd.org/cgi/cvsweb.cgi/~checkout~/ports/www/apache20/files/patch-
secfix-CVE-2006-3747?rev=1.1&content-type=text/plain

>Кстати, в данный момент ЛОР постоянно выдаёт мне пустое окно... Умельцы уже эесплуатируют уязвимость? %)

А где ты на ЛОРе увидел mod_rewrite ?! o_O

Отличная новость! ;-)