Доступен (http://www.apache.org/dist/httpd/Announcement2.2.html) релиз Apache 2.2.20 (http://www.apache.org/dist/httpd/), в котором устранена уязвимость (https://www.opennet.ru/opennews/art.shtml?num=31582), позволяющая удаленно инициировать отказ в обслуживании из-за исчерпания всей доступной памяти. Кроме того, в новой версии устранены (http://www.apache.org/dist/httpd/CHANGES_2.2.20) недоработки в mod_filter, mod_authnz_ldap и mod_reqtimeout.

Приводившая к DoS-уязвимости ошибка связана с тем, что при обработке запроса, содержащего большое число диапазонов (например, "Range:bytes=0-,5-1,5-2,5-3,...,5-1000") в сочетании с использованием gzip-сжатия отдаваемого контента, расходуется слишком много памяти. Например, если в заголовке Range передана тысяча диапазонов, то Apache пытается отдельно сжать каждый диапазон, выделяя для каждой операции избыточный по размеру буфер. Решение проблемы реализовано довольно спорным способом: если сумма всех диапазонов больше оригинального файла, заголовок Range игнорируется и отправляется полный файл.

URL: http://www.apache.org/dist/httpd/Announcement2.2.html
Новость: https://www.opennet.ru/opennews/art.shtml?num=31640