Les développeurs du projet Open Source Apache ont averti les utilisateurs du logiciel de serveur web qu'un outil d'attaques en déni de service (DoS) circulait en utilisant une erreur dans le programme. Appelé « Killer Apache », l'outil est apparu vendredi dernier sur la mailing list dédiée à la sécurité « Full Disclosure ». La fondation Apache a reconnu la vulnérabilité de son programme et a déclaré  dans un billet d'avertissement qu'elle publierait un correctif pour Apache 2.0 et 2.2 dans les prochaines 48 heures. La version 1.3 est aussi concernée, mais le support n'est plus assuré.

« Un outil d'attaque est en circulation dans la nature et il est utilisé activement. L'attaque peut être effectuée à distance avec un nombre modeste de requêtes, mais capables d'utiliser massivement la mémoire et le CPU du serveur », souligne Apache dans le billet. Dans l'attente du correctif, ce dernier donne aux administrateurs des conseils pour défendre leurs serveurs web. Selon la société britannique de sécurité Netcraft, Apache est le logiciel de serveur web le plus utilisé dans le monde, avec une part de marché de 65,2%.

Petit élément de distinction pour les utilisateurs du bundle Mac OS X-Apache, ce dernier est mise à jour via le système d'exploitation. Il reste à savoir à quel moment Apple diffusera les correctifs.

Un patch de Microsoft utilisé pour des attaques DOS

La société de sécurité Qualys a montré comment utiliser un patch Microsoft pour lancer une attaque par déni de service sur le DNS Server de Windows. Un test démontre comment des pirates pourraient s'en servir et souligne l'importance de déployer les correctifs de Microsoft dès que possible après la publication du Patch Tuesday mensuel. Le correctif (Windows MS11-058) que Qualys a utilisé corrige deux failles dans DNS Server de Windows et a été classé critique, niveau le plus élevé chez l'éditeur. La firme de Redmond ne pense pas que cette vulnérabilité soit exploitée par des attaquants ce mois-ci, mais le test réalisé par Qualys montre que cela est possible rapidement.

« Nous avons procédé à de la rétro-ingénierie du patch pour avoir une meilleure compréhension du mécanisme de la faille. Nous avons découvert que cette vulnérabilité pouvait être utilisée rapidement à partir de quelques commandes », explique Bharat Jogi, ingénieur en sécurité chez Qualys sur un blog. Il ajoute « la démonstration dans le test montre une attaque par déni de service, mais des pirates peuvent aller plus loin dans l'exécution du code. » Pour son test, il a utilisé un outil de « binary diffing » appelé TurboDiff pour comparer les versions non patchées et corrigées des fichiers DNS Server. Cela aide les experts en sécurité à « comprendre les changements intervenus afin de corriger les failles », souligne l'ingénieur, mais donne aussi les moyens aux pirates d'exploiter la vulnérabilité et de l'utiliser contre les OS qui n'ont pas reçu la mise à jour de sécurité. Une fois les failles identifiées, la société a monté dans son laboratoire deux serveurs DNS et fait tomber l'un d'eux en tapant quelques commandes.