Supported operating systems: Linux glib 2.1 / 2.2 (e.g. RedHat 6.x/7.x, Debian 2.2, SuSE 6.4 / 7.2, Mandrake 8.1, and others), Sparc Solaris 2.x, FreeBSD 3.4 / 4.0, Windows(r) NT 4.0 / 2000 / XP. Solaris i386, OpenBSD, & Mac OS X supported by the Zend Optimizer 1.2.0.
-------------------------------- # telnet hogehoge 80 Trying... Connected to hogehoge Escape character is '^]'. GET http://hogehoge/cgi-bin/print_omaemona HTTP/1.1 User-Agent: itteyoshi Host: 0.0.0.0
*) SECURITY: [CAN-2002-0661] Close a very significant security hole that applies only to the Win32, OS2 and Netware platforms. Unix was not affected, Cygwin may be affected. Certain URIs will bypass security and allow users to invoke or access any file depending on the system configuration. Without upgrading, a single .conf change will close the vulnerability. Add the following directive in the global server httpd.conf context before any other Alias or Redirect directives; RedirectMatch 400 "\\\.\." Reported by Auriemma Luigi <bugtest@sitoverde.com>. [Brad Nicholes]
*) SECURITY: Close a path-revealing exposure in multiview type map negotiation (such as the default error documents) where the module would report the full path of the typemapped .var file when multiple documents or no documents could be served based on the mime negotiation. Reported by Auriemma Luigi <bugtest@sitoverde.com>. [CAN-2002-0654] [William Rowe]
*) SECURITY: Close a path-revealing exposure in cgi/cgid when we fail to invoke a script. The modules would report "couldn't create child process /path-to-script/script.pl" revealing the full path of the script. Reported by Jim Race <jrace@qualys.com>. [CAN-2002-0654] [Bill Stoddard]
--- Apache Web Server Directory Traversal and Path Disclosure Vulnerability (non UNIX) -------------------------------------------------------------
SUMMARY
The Apache server (non UNIX) has been found to contain two security vulnerabilities, one a directory traversal vulnerability, the second a path disclosure vulnerability. The first vulnerability allows an attacker to any file in file system and execute it using a prefix of a /cgi-bin/. The second vulnerability is a simple path disclosure bug, useful for obtaining more info about the server (important if the administrator hide some information).
DETAILS
Vulnerable systems: * Apache web server version 2.0.39 and previous 2.0.x (Windows/Netware/OS2)
Immune systems: * Apache web server (UNIX) * Apache web server version 2.0.40 (Windows/Netware/OS2)
Path disclosure: The vulnerability is not dangerous because it does not give remote access to the system or other data accesses but for an attacker it is useful in gathering detailed information about the server to launch other malicious attacks.
HTTPの時はmod_gzipが有効に動作しているのですが、HTTPSだとerror_logに mod_gzip: EMPTY FILE [/tmp/_54463_99_0.wrk] in sendfile2 mod_gzip: Make sure all named directories exist and have the correct permissions. と出てしまい、動いてくれてないようです。
[Tue Aug 27 17:15:53 2002] [error] [client 202.240.8.201] Options ExecCGI is off in this directory: /home/user/hoge/public_html/cgi-bin/test.cgi のように、ExecCGIがOFFになっていると怒られます。
Openssl-0.9.6gが/usr/local/opensslにインストールしてある状態で、 ./configure \ --prefix=/usr/local/apache2-2.0.40 \ --enable-mods-shared=most \ --enable-modules=ssl --with-ssl=/usr/local/openssl make make install したあと、 apachectl startsslすると Syntax error on line 243 of /usr/local/apache2-2.0.40/conf/httpd.conf: Cannot load /usr/local/apache2-2.0.40/modules/mod_ssl.so into server: /usr/local /apache2-2.0.40/modules/mod_ssl.so: Undefined symbol "X509_free" と言われてしまい、起動しません。どうしたらいいでしょうか？
/* * Change UID/GID here so that the following tests work over NFS. * * Initialize the group access list for the target user, * and setgid() to the target group. If unsuccessful, error out. */ if (((setgid(gid)) != 0) || (initgroups(actual_uname, gid) != 0)) { log_err("emerg: failed to setgid (%ld: %s)\n", gid, cmd); exit(109); }
初めてApacheの設定をしているのですが 設定が悪いようで次のようなエラーがでてしまいます。 bsd01# apachectl configtest Syntax error on line 72 of /usr/local/etc/apache2/httpd.conf: Invalid command 'Order', perhaps mis-spelled or defined by a module not included in the server configuration
対応する記述は、これです。 <Directory /> Options Indexes FollowSymLinks ExecCGI AllowOverride None Order allow,deny Allow from all </Directory>
617ですレスありがとうございます。 apache http server ってCGIを自分のコンピュータで試したりできるんですか？ スタートってとこクリックして127.0.0.1をやってもうまくできませんでした。 cgiのスクリプトは間違ってないのにできないのでWEB SERVER と違うのかなあと 思いました。ど素人なもんであほな質問ですんませんでした。
首つってでなおしてきました。 Could not determine the server's fully qualified domein using 127.0.0.1 for serverName Apache/1.314(Win32)running.. ってプロンプトに出てきてCGIが動かないのですが、どうしたらいいのでしょう？
A と B のふたつの HTTPS サーバを動かすとする。 A の証明書と B の証明書は別なので、リクエストに応じて どちらの証明書でネゴをするのか選択しなければいけない。 だけど、IP アドレス、ポート番号が同じだと、A と B を 区別するのは Host: しかないわけで、これは復号しないと 見ることができない。ところが証明書の交換が終わってないので まだ復号できない。鍵は金庫の中ってわけ。
Host: 以外の手段で A と B を区別できるようにすれば どっちの証明書を使えばいいのかもわかるから SSL トンネルを 確立することが可能になる。HTTP セッションが開始されるのは この後だから、GET ～以下も問題なく読める。 Host: も読めるようになったけど、もう用済み。
apache1.3.27 が起動しません。(apacheを使うのは今回が初めて) $apachectl start をすると could not be started. となります。 apachectl を覗いてみると、 if $HTTPD; then のところではじかれています。 HTTPD=/usr/local/sbin/httpd です。 直接 /usr/local/sbin/httpd を実行しようとすると、 なんのエラーメッセージもなしに、動いてくれません。 なにが問題なのでしょう。
>749 ありがとう、エラーログの存在をしりました。 そこには [alert] mod_unique_id: unable to gethostbyname("ホスト名") とありました、架空のホスト名であるので、当たり前なことなんでしょうけど、 rc.conf に hostname=localhost のようにすると、 [crit] (48)Address already in use: make_sock: could not bind to port 80 となってしまうので、どうすればいいのか困ってしまいました。
# /usr/local/apache/bin/apachectl start /usr/local/apache/bin/apachectl start: httpd could not be started なんで？エラーログがないので理由がわかりません． なにか考えられる起動しない理由はありますか？
＜イベントビューアのログ＞ The Apache service named Apache.exe reported the following error: >>> Cannot load c:/apache/apache/modules/mod_jk2.so into server: (126) 指定されたモジュールが見つかりません。: <<<