Palvelunestohaavoittuvuus useissa www-ohjelmointikielissä

Useista www-sovellusten tekemiseen käytetyistä ohjelmointialustoista ja -kielistä on löytynyt haavoittuvuus, jonka hyväksikäyttö saattaa johtaa palvelunestotilaan. Haavoittuvuus liittyy ohjelmointikielten tapaan käsitellä merkkijonojen tiivisteitä.

Päivitetty 30.12.2011:
Microsoft on julkaissut haavoittuvuuteen korjauspäivityksen normaalin päivitysaikataulun ulkopuolella

  • Palvelimet ja palvelinsovellukset
  • Työasemat ja loppukäyttäjäsovellukset
  • Verkon aktiivilaitteet
  • Matkaviestinjärjestelmät
  • Sulautetut järjestelmät
  • Muut

Kohde

  • Palvelimet ja palvelinsovellukset
Lisätietoa +

Hyökkäystapa

  • Etäkäyttö
  • Ilman käyttäjän toimia
Lisätietoja hyökkäystavasta +

Hyväksikäyttö

  • Palvelunestohyökkäys
Lisätietoja hyväksikäytöstä +

Ratkaisu

  • Korjaava ohjelmistopäivitys
  • Ongelman rajoittaminen
Lisätietoja ratkaisusta +

Haavoittuvat ohjelmistot:

  • Java, kaikki versiot
  • Jetty, kaikki versiot
  • Plone, kaikki versiot
  • Rack, kaikki versiot
  • V8 JavaScript Engine, kaikki versiot
  • Python, kaikki versiot
  • Rubinius, kaikki versiot
  • Apache Geronimo, kaikki versiot
  • Oracle Glassfish, kaikki versiot
  • ASP.NET, kaikki versiot
  • Ruby, ennen versiota 1.8.7-p367
  • JRuby, ennen versiota 1.6.5.1
  • PHP, ennen versiota 5.3.9 ja 5.4.0RC4
  • Apache Tomcat, ennen versioita 5.5.35, 6.0.35 ja 7.0.23

Ratkaisu- ja rajoitusmahdollisuudet:

Mikäli mahdollista, päivitä ohjelmisto korjattuun versioon. Rajoituskeinoina voi pyrkiä:

  • rajoittamaan HTTP-kyselyjen kokoa
  • rajoittamaan HTTP-kyselyjen prosessointiaikaa

Lisätietoa:

Päivityshistoria


Asiasanat: Tietoturva, Haavoittuvuudet


Google+ Print