[Linux-Biella] Due problemini con Apache

[Marco Ermini]

Luca Bertoncello disse:
> Ciao a tutti!
>
> Dopo un check con Nessus sul mio Server lucabert.de (grazie CMaffio!),
> sono emersi due problemi su Apache (nella configurazione per l'HTTPS).
>
> In pratica, Nessus mi dice:
> ------------------------------------
> Vulnerability  	https (443/tcp)
> The dll '/_vti_bin/_vti_aut/dvwssr.dll' seems to be present.
[...]
> Solution : delete /_vti_bin/_vti_aut/dvwssr.dll

Sei sicuro di non avere installate le estensioni FrontPage?



> Risk factor : High
> See also : http://www.wiretrip.net/rfp/p/doc.asp?id=45&iface=1
> CVE : CVE-2000-0260
> BID : 1109
> Nessus ID : 10369
> ------------------------------------
> Vulnerability 	https (443/tcp)
> It is possible to kill the web server by
> sending an oversized string of '<' as an argument
> to a GET request.
>
> A cracker may exploit this vulnerability to make your web server
> crash continually or even execute arbirtray code on your system.
>
> Solution : upgrade your software or protect it with a filtering reverse
> proxy
[...]
> Seconda cosa: dovrei filtrare il Reverse Proxy per ovviare al secondo Bug
> segnalato da Nessus.

No, hai letto male: devi filtrare CON un reverse proxy, usato appunto come
filtro.


> Qualcuno mi sa dire cosa devo scrivere nell'httpd.conf?

http://httpd.apache.org/docs/misc/rewriteguide.html

Basta che usi mod_proxy. Controlla se ti viene fatta una GET con pił di un
tot di "<" sulle chiamate https, e redirigi ad un'altra pagina, e quindi
sei a posto.


> Mille grazie a tutti!
> Luca


Ciao.
-- 
Marco Ermini
http://www.markoer.org
Dubium sapientiae initium. (Descartes)
<< This message is for the designated recipient only and may contain
privileged or confidential information. If you have received it in
error, please notify the sender immediately and delete the original.
Any other use of the email by you is prohibited. >>