Varnish Cache远程拒绝服务漏洞（CVE-2013-4484）

发布日期：2013-10-29
更新日期：2013-11-02受影响系统：
varnish-cache Varnish Cache 4.x
varnish-cache Varnish Cache 3.0.5
描述：
--------------------------------------------------------------------------------
BUGTRAQ ID: 63451
CVE（CAN） ID: CVE-2013-4484Varnish Cache是Web应用加速器。Varnish Cache 3.0.4及其他版本使用子进程"vcl_error{}"处理畸形请求，在实现上存在断言崩溃漏洞，攻击者可利用此漏洞使应用崩溃，导致拒绝服务。<*来源：Poul-Henning Kamp

链接：http://www.securityfocus.com/archive/1/529531
http://seclists.org/bugtraq/2013/Oct/160
*>测试方法：
--------------------------------------------------------------------------------警告以下程序（方法）可能带有攻击性，仅供安全研究与教学之用。使用者风险自负！假设VCL的作用是： sub vcl_error {
return（restart）;
}发送畸形 HTTP 请求： GET<SP><SP><SP><CR><NL>
Host:<SP>foo<CR><NL>
<CR><NL>

Varnish将断言并重启子进程。建议：
--------------------------------------------------------------------------------
临时解决方法：在VCL文件开始插入：

sub vcl_error {
if （obj.status == 400 || obj.status == 413） {
return（deliver）;
}
}

或者在现有vcl_error{}开始添加此测试。厂商补丁：varnish-cache
-------------
目前厂商还没有提供补丁或者升级程序，我们建议使用此软件的用户随时关注厂商的主页以获取最新版本：https://www.varnish-cache.org/相关阅读：Varnish Cache 的架构笔记 http://www.linuxidc.com/Linux/2013-10/91016.htmCentOS 5.8下Varnish-2.1.5的安装配置 http://www.linuxidc.com/Linux/2013-09/89916.htmRedHat脚本改用CentOS源更新安装Nginx、PHP 5.3、Varnish http://www.linuxidc.com/Linux/2012-07/65801.htm利用Varnish构建Cache服务器笔记 http://www.linuxidc.com/Linux/2012-07/65234.htm缓存服务Varnish安装配置 http://www.linuxidc.com/Linux/2012-07/65228.htmVarnish 编译安装所需准备 http://www.linuxidc.com/Linux/2012-07/65230.htmLinux下Varnish缓存的配置优化 http://www.linuxidc.com/Linux/2012-03/56435.htmMozilla Firefox/Thunderbird/SeaMonkey XSLT处理拒绝服务漏洞（CVE-2013-5604）Zabbix任意命令执行漏洞（CVE-2013-3628）相关资讯 Varnish Cache

Varnish Cache安装配置及体验笔记（10/05/2013 21:20:18）
Varnish Cache 配置使用（10/05/2013 21:14:53）
Varnish Cache 的架构笔记（10/05/2013 20:51:30）

Varnish Cache初学笔记（10/05/2013 21:18:17）
Varnish Cache使用测试（10/05/2013 21:06:27）

本文评论查看全部评论（0）

评论声明

尊重网上道德，遵守中华人民共和国的各项有关法律法规
承担一切因您的行为而直接或间接导致的民事或刑事法律责任
本站管理人员有权保留或删除其管辖留言中的任意内容