2ch特化型サーバ・ロケーション構築作戦 Part62

[140 動け動けウゴウゴ２ちゃんねる 2011/08/27(土) 01:04:31.21 ID:S8x66i+g0]

>>138
古いブラウザとの互換性の為に残しているRequest-Rangeヘッダも対策が必要のようです。
(Apache Killerをちょろっと書き換えるだけで出来ちゃうので)
アドバイザリだとReuqest-Rangeヘッダは完全に無効にしてますね。

http://mail-archives.apache.org/mod_mbox/httpd-announce/201108.mbox/[e-mail]%3E
Option 2: (Pre 2.2 and 1.3)

# Reject request when more than 5 ranges in the Range: header.
# CVE-2011-3192
#
RewriteEngine on
RewriteCond %{HTTP:range} !(bytes=[^,]+(,[^,]+){0,4}$|^$)
# RewriteCond %{HTTP:request-range} !(bytes=[^,]+(?:,[^,]+){0,4}$|^$)
RewriteRule .* - [F]

# We always drop Request-Range; as this is a legacy
# dating back to MSIE3 and Netscape 2 and 3.
RequestHeader unset Request-Range