Advisory [apache.org] によれば、「この機能はデフォルトで有効になっている」（This functionality is enabled by default.）そうなのですが、「この機能」って何のことでしょう？ httpd.conf で有効にしたり無効にしたりできる何かを指しているのでしょうか。
Versions of the Apache web server up to and including 1.3.24 and 2.0 up to and including 2.0.36 contain a bug in the routines which deal with invalid requests which are encoded using chunked encoding.
This bug can be triggered remotely by sending a carefully crafted invalid request. This functionality is enabled by default.
「この機能」はデフォルトで有効 (スコア:1)
鵜呑みにしてみる？
Re:「この機能」はデフォルトで有効 (スコア:1)
Re:「この機能」はデフォルトで有効 (スコア:2, 参考になる)
だとすると、 SetEnv ディレクティブ [apache.org] で適切な環境変数 [apache.org]を設定して、 HTTP/1.0 サーバとして振る舞うように強制してやれば、 chunked transfer coding を使った request を解釈しないようになるのかもしれません。 downgrade-1.0 や force-response-1.0 という環境変数を設定すると Apache の動きがどう変わるのかを知らないので、これでうまくいくかどうかわかりませんが。副作用も大きそうですし。
やっぱり修正されたバージョンが出るまで静観かな……。
鵜呑みにしてみる？
Re:「この機能」はデフォルトで有効 (スコア:1)
NameBasedVirtualHostが使えなくなるので、
ホスティングサイトにとってはかなりイタイと思われ・・・。
GUST NOTCH な気分でいこう!
Re:「この機能」はデフォルトで有効 (スコア:1)
# どちらにしろ、 agent からは HTTP/1.1 リクエストが送られてきますし
HTTP/1.0 でリクエストされた時も Host ヘッダさえきちんと付いていれば VirtualHost 処理されますよん。
Re:「この機能」はデフォルトで有効 (スコア:1)
ということで、 #109581 を読んで何も考えずにいきなり httpd.conf に「SetEnv downgrade-1.0」とか書かないように！ これで弱点が回避できるかどうか、ぼくにはわかりませんし、副作用はいろいろ考えられます。まさかそんな無謀な人はいないでしょうが、念のため。
鵜呑みにしてみる？