Vulnerabilidad Crítica En Apache (parchea!)

Desarrolladores del proyecto open-source Apache advirtieron hoy a los usuarios del popular servidor Web que está circulando una herramienta de denegación-de-servicio (senial-of-Service-DoS) que explota una vulnerabilidad en el módulo mod_deflate. Este módulo es empleado por Apache para comprimir contenido antes de ser devuelto al cliente. Este módulo es instalado y habilitado por defecto en la instalación base de Apache.

La herramienta, llamada Apache Killer, apareció el pasado viernes en una nota de la lista de correo de seguridad Full Disclosure.
Hoy, el proyecto Apache reconoció la vulnerabilidad que explota la herramienta de ataque, y dijeron que publicarán un arreglo para Apache 2.0 y 2.2 en las próximas 48 horas. Sin embargo y mientras tanto hay un proceso de mitigación que fue puesto a disposición por Apache.

Se encontró una vulnerabilidad de denegación de servicio en la forma en que múltiples rangos superpuestos son manejados por Apache, dijo el grupo en un boletin de seguridad . Según Apache, todas las versiones en las lineas 1.3 y 2.0 son vulnerables al ataque, lo que significa el 65% de los servidores de Internet.


El grupo ya no da más soporte al viejo Apache 1.3.

"Una herramienta de ataque entró en circulación. Se ha observado el uso activo de estas herramientas," dice el boletín. "El ataque puede ser realizado de forma remota y con un modesto número de peticiones puede causar un uso muy importante de memoria y CPU en el servidor".

En lugar de un arreglo, Apache ofreció los pasos que deben realizar los administradores para defender sus servidores Web hasta que el parche esté disponible.

Según la empresa británica Netcraft, Apache es el software de servidor Web más ampliamente usado en el mundo, contando con 65.2% de todo el software de su tipo actualmente en uso.

Como Apple incluye Apache con Mac OS X -- y mantiene el software mediante las actualizaciones de su sistema operativo -- los usuarios que usan servidores basados en Mac deberán esperar a que Apple libere el parche.

Traducción: Raúl Batista - Segu-Info
Autor: Gregg Keizer
Fuente: Networkworld