Vulnerabilidad Apache

Hay una vulnerabilidad detectada recientemente en el servidor web más popular.

Todas las versiones del servidor web Apache se ven afectadas por una vulnerabilidad en las funciones encargadas de procesar las peticiones erróneas codificadas de forma troceada. Se trata de una vulnerabilidad explotable de forma remota.

Las versiones de Apache hasta la 1.3.24 (incluida) y hasta la 2.0.36 (incluida) tienen un problema en las funciones que procesan las peticiones erróneas recibidas que estén codificadas de forma troceada ("chunked encoding").

Cuando un atacante remoto envíe una serie de peticiones codificadas de una forma especial, la vulnerabilidad puede provocar la finalización del proceso hijo que está procesando la petición. Por tanto el atacante puede provocar una condición de denegación de servicio.

Adicionalmente, en las versiones 1.x de Apache, además, se produce un desbordamiento de memoria intermedia. En las plataformas Unix de 32-bit, este desbordamiento originará una violación de segmentación y el proceso finalizará. En las plataformas de 64-bit, en cambio, este desbordamiento puede llegar a ser controlado por el atacante para forzar la ejecución de código. Por lo que se refiere a la plataforma Windows, ya se ha verificado la posibilidad de ejecutar código arbitrario en el servidor.

Las versiones 2.x de Apache detectan de forma correcta la situación de error, por lo que no es posible que el atacante ejecute código en el servidor.

Esta vulnerabilidad ha sido reportada inicialmente por ISS, que ha facilitado un parche para el código fuente de Apache. No obstante, según informan desde el proyecto Apache el parche propuesto por ISS no soluciona la vulnerabilidad.

Se espera que en las próximas horas estén disponibles versiones actualizadas de Apache 1.3 y 2.0 que eliminen esta vulnerabilidad. Aprovechamos para recordar que muchos otros productos (IBM WebSphere, Oracle 9ias...) incluyen servidores web basados en Apache que son, igualmente, vulnerables a este problema.