Apache Killer, un outil malveillant exploite une faille vieille de quatre ans et permet des attaques par déni de service.
Les versions 1.3 et 2.x du serveur Web open source Apache est sujet à une faille de sécurité pouvant être exploitée par des pirates pour des attaques par déni de service (DoS).
L’annonce a été faite par les développeurs de la plateforme qui travaillent activement pour apporter un correctif le plus tôt possible.
La faille de sécurité se situe au niveau de la façon dont le serveur Apache traite les requêtes HTTP volumineuses qui se chevauchent, pouvant conduire à une utilisation complète de la mémoire de l’appareil.
Cette faille peut être exploitée par un pirate distant en empilant de multiples en-têtes HTTP Range pour demander au serveur de lui renvoyer un très grand nombre de morceaux de fichiers de tailles différentes. Le traitement de ces requêtes provoque donc une fuite de mémoire qui peut entraîner le dysfonctionnement du serveur.
Cette vulnérabilité ne serait pas nouvelle. Elle aurait été découverte pour la première fois il y a de cela quatre ans (en 2007) par Michal Zalewski, un chercheur en sécurité qui travaille actuellement pour Google.
Mais un outil baptisé « Apache Killer » qui exploite cette vulnérabilité serait en ce moment de circulation et serait très utilisé par des pirates de plus en plus nombreux, selon l’avis même des développeurs du serveur Web.
Dans le document qu’ils ont publié, des solutions sont également proposées pour permettre aux administrateurs de protéger leur système.
Les correctifs pour Apache 2.0 et 2.2 devraient être disponibles d’ici 48 heures.
Source : Developpez.com