脆弱性を検証してみよう - Apache Killer（CVE-2011-3192）その２

前回のエントリで脆弱性を検証しました。今回は対策が有効であることを検証します。

2.2系に関しては対策版が正式にリリースされているので、まずはそちらから試します。 CentOS5.4 + Apache2.2.3 の環境を Apache 2.2.21 にアップグレードして検証しました。

# ./bin/httpd -v
Server version: Apache/2.2.21 (Unix)
Server built:   Sep 18 2011 10:12:52

検証方法は前回のエントリを参照してください。
vmstat 1 の結果です。

# vmstat 1 procs -----------memory---------- ---swap-- -----io---- --system-- -----cpu------ r b swpd free buff cache si so bi bo in cs us sy id wa st 0 0 39824 126828 3776 33076 203 186 664 274 118 317 2 5 76 17 0 1 0 39824 126828 3776 33076 0 0 0 0 46 65 0 0 100 0 0 0 0 39824 126828 3776 33076 0 0 0 0 47 66 0 0 100 0 0 0 0 39824 126828 3784 33068 0 0 0 32 40 71 0 0 100 0 0 0 0 39824 126828 3784 33068 0 0 0 0 47 65 0 0 100 0 0 0 0 39824 126828 3784 33076 0 0 0 100 57 67 0 0 100 0 0 0 0 39824 126828 3784 33076 0 0 0 0 48 65 0 0 100 0 0 1 0 39824 126828 3784 33076 0 0 0 0 43 65 0 0 100 0 0 0 0 39824 126828 3784 33076 0 0 0 0 57 66 0 0 100 0 0 0 0 39824 126408 3792 33068 0 0 0 20 812 338 0 1 97 2 0 0 0 39824 126408 3792 33068 0 0 0 0 47 64 0 0 100 0 0 0 0 39824 126408 3792 33076 0 0 0 0 39 63 0 0 100 0 0 0 0 39824 126408 3792 33076 0 0 0 0 51 63 0 0 100 0 0 0 0 39824 126408 3792 33076 0 0 0 0 39 64 0 0 100 0 0 0 0 39824 126408 3800 33068 0 0 0 28 51 76 0 0 100 0 0 0 0 39824 126408 3800 33076 0 0 0 0 42 66 0 0 100 0 0 0 0 39824 126408 3800 33076 0 0 0 0 49 64 0 0 100 0 0 0 0 39824 126408 3800 33076 0 0 0 0 38 64 0 0 100 0 0 0 0 39824 126408 3800 33076 0 0 0 0 48 63 0 0 99 0 1 0 0 39824 126408 3808 33068 0 0 0 12 43 75 0 0 100 0 0 0 0 39824 126408 3808 33068 0 0 0 0 56 68 0 0 100 0 0

idle が 97 になっているところが攻撃された瞬間です。 前回と全く同じ攻撃条件でしたが一瞬で処理が終わりました。 サーバ側には何の影響もありません。対策がきちんと行われていることが確認できました。

具体的にどのようなレスポンスが返されているのか見てみましょう。

$ telnet 192.168.11.111 80 Trying 192.168.11.111... Connected to 192.168.11.111. Escape character is '^]'. GET / HTTP/1.1 Host: 192.168.11.111 Connection: close Range: bytes=0-,5-0,5-1,5-2,5-3,5-4,5-5,5-6,5-7,5-8,5-9,5-10,5-11,5-12,5-13,5-14,5-15,5-16,5-17,5-18,5-19,5-20,5-21,5-22,5-23,5-24,5-25,5-26,5-27,5-28,5-29,5-30,5-31,5-32,5-33,5-34,5-35,5-36,5-37,5-38,5-39,5-40,5-41,5-42,5-43,5-44,5-45,5-46,5-47,5-48,5-49 HTTP/1.1 200 OK Date: Sun, 18 Sep 2011 01:36:44 GMT Server: Apache/2.2.21 (Unix) Last-Modified: Sat, 17 Sep 2011 23:47:29 GMT ETag: "6a71f-5ba-4ad2bbb92c640" Accept-Ranges: bytes Content-Length: 1466 Connection: close Content-Type: text/html (contents/snip)

206 ではなく 200 が返ってきています。ちなみに正常なレンジ（例えば Range: bytes=0-100）のリクエストであれば 206 を返してきます。

次は、Solaris10 + Apache 2.0.64 の環境を使って、回避策を試してみます。

http://httpd.apache.org/security/CVE-2011-3192.txt

私の環境では mod_rewrite は組み込まれていますが mod_header は無いので（勿論リコンパイルすればいいのですが面倒くさいので・・・）、Mitigation の 1) の Option 2 をベースに、Request-Range ヘッダも Range ヘッダと同様に処理することにします。
以下の記述を httpd.conf に追記して Apache を restart 。

RewriteEngine on
RewriteCond %{HTTP:range} !(^bytes=[^,]+(,[^,]+){0,4}$|^$) [NC]
RewriteRule .* - [F]
RewriteCond %{HTTP:request-range} !(^bytes=[^,]+(,[^,]+){0,4}$|^$) [NC]
RewriteRule .* - [F]

攻撃してみます。
以下は vmstat 1 の結果です。

# vmstat 1 kthr memory page disk faults cpu r b w swap free re mf pi po fr de sr f0 s0 s1 -- in sy cs us sy id 0 0 0 628744 174728 12 35 0 0 0 0 58 -0 0 -1 0 323 438 113 0 1 99 0 0 0 615388 165700 16 52 0 0 0 0 0 0 0 0 0 330 389 75 0 1 99 0 0 0 615308 165636 6 6 0 0 0 0 0 0 0 0 0 337 485 76 0 0 100 0 0 0 615308 165640 6 6 0 0 0 0 0 0 0 0 0 332 377 77 0 0 100 0 0 0 615308 165640 6 6 0 0 0 0 0 0 0 0 0 335 375 72 0 1 99 0 0 0 615308 165640 6 6 0 0 0 0 0 0 0 0 0 325 1062 67 1 0 99 0 0 0 614648 164840 22 372 0 0 0 0 0 0 1 0 0 1031 1283 417 3 7 90 0 0 0 614424 164604 6 6 0 0 0 0 0 0 0 0 0 327 379 68 0 0 100 0 0 0 614424 164608 6 6 0 0 0 0 0 0 0 0 0 326 688 71 1 1 98 0 0 0 614424 164612 6 6 0 0 0 0 0 0 0 0 0 333 375 76 0 0 100 0 0 0 614424 164620 6 6 0 0 0 0 0 0 0 0 0 327 389 70 0 0 100 0 0 0 614424 164620 6 6 0 0 0 0 0 0 0 0 0 340 356 84 0 1 99 0 0 0 614424 164620 6 6 0 0 0 0 0 0 0 0 0 359 348 100 0 0 100 0 0 0 614424 164620 6 6 0 0 0 0 0 0 0 0 0 359 348 103 0 0 100 0 0 0 614424 164620 6 6 0 0 0 0 0 0 0 0 0 368 352 122 0 0 100 0 0 0 614424 164620 6 6 0 0 0 0 0 0 0 0 0 347 337 91 0 1 99 0 0 0 614424 164620 6 6 0 0 0 0 0 0 0 0 0 356 347 96 0 0 100

idle が 90 になっているところが攻撃した瞬間です。 こちらもすぐに処理が完了してサーバに影響はありません。 回避策も有効であることが確認できました。ちなみにこちらのレスポンスは mod_rewrite のルール通り 403 になります。