Уязвимость в Apache HTTP Server 2

позор

> позор

Мда... Согласен, это вам не локальная уязвимость. Можно хостерам свинью подкладывать... :-(

Как по мне, .htaccess это такая бяка :)

В него слава богу не каждый день надо изменения вносить, можно это и через хостера было бы делать, пусть бы он httpd.conf правил. Можно было б к этому что-нибудь такое присобачить, полуавтоматическое.

Сугубое IMHO (даже IMVHO). Понимаю, что так геморройнее, да и привыкли к ним все, просто у меня какое-то инстинктивное отвращение к .htaccess :)

кроме того, оно ещё и гораздо медленнее. например, rewrite откровенно тормозит с ним.

А вот еще (из рассылки SUSE):

The Red Hat ASF Security-Team and the Swedish IT Incident Center within the National Post and Telecom Agency (SITIC) have found a bug in apache2 each. The first vulnerability appears in the apr_uri_parse() function while handling IPv6 addresses. The affected code passes a negative length argument to the memcpy() function. On BSD systems this can lead to remote command execution due to the nature of the memcpy() implementation. On Linux this bug will result in a remote denial-of-service condition.

кстати в mod_ssl все-таки две уязвимости были


  A segfault in mod_ssl which can be triggered by a malicious
  remote server, if proxying to SSL servers has been configured.
  [http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0751]

  A potential infinite loop in mod_ssl which could be triggered
  given particular timing of a connection abort.
  [http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2004-0748]