Proxyとか

ネット界隈と時事ニュースなどの日常の何気ない話題が中心な信憑性もなければ公平性もない偏った素人のメモ。

 http://fula.jp/ へのリンクはフリーです [メール] [PGP] はこちらよりどうぞ。但し、営利目的の方はご遠慮下さい。    携帯    English    韓国語    中文

<< 201204のログ | TOP | 201111のログ >>

[net]  38.111.147.83 TurnitinBot/2.1 のアクセスが酷すぎる

 more・・

Ip:38.111.147.83 UserAgent:TurnitinBot/2.1 (http://www.turnitin.com/robot/crawlerinfo.html)

WHOIS情報 - turnitin.com

[Querying whois.verisign-grs.com]
[whois.verisign-grs.com]
Whois Server Version 2.0
Domain names in the .com and .net domains can now be registered
with many different competing registrars. Go to http://www.internic.net
for detailed information.
Domain Name: TURNITIN.COM
Registrar: NETWORK SOLUTIONS, LLC.
Whois Server: whois.networksolutions.com
Referral URL: http://www.networksolutions.com/en_US/
Name Server: NS1.IPARADIGMS.COM
Name Server: NS1.TURNITIN.NET
Status: clientTransferProhibited
Updated Date: 05-oct-2011
Creation Date: 25-jun-1999
Expiration Date: 25-jun-2021
>>> Last update of whois database: Sun, 19 Feb 2012 01:21:27 UTC

この組織からのアクセスがあまりにも酷い。robots.txt 云々は通り越して、上位ネットワークごとFW。403のリソースがもったいない。

[2012/02/19(Sun) 10:42:25] [admin] [Comments:0] [Trackbacks:0]

[Webprog]  μ-s ver2.09 (myu-s ver2.09) の不具合に伴うコードの修正

 more・・

当所もブログで使わせていただいているPHPスクリプト、myu-s ver2.09に不具合が見つかったようです。セキュリティーに関係するのでmyu-sを利用されている方はコードの修正が必要となります。

http://www.fleugel.com/doc/mnews.html

当ウェブサイトで過去に公開していた簡易ウェブログシステムμ-sにおいて、 脆弱性が存在する旨の報告がセキュリティ関係機関より報告がありました。

現在ご利用しているユーザーの方にはお手数をおかけしますが、 アップデート版を更新していただく必要があります。

include/system.php のファイルをメモ帳などで開き、700行目付近に、

function search($val){
global $output_html,$log_arr,$log_arr2,$logdir;

// ログをチェック。
check_log($logdir);
check_log2($logdir);
という箇所がありますので、その下の行に、

check_log($logdir);
check_log2($logdir);
$val = htmlspecialchars($val, ENT_QUOTES);

というように赤字の部分を追加します。

ユーザーが何らかのコードを送信する部分に関する変数のサニタイズは必ず必要になると思います。今回もこの部分に関しての修正ですが、ファイル書き込みとは無関係な部分なのは幸いだと思います。

サイト内関連記事
スクリプト myu-s がバージョンアップ

※上記の関連記事内のファイルも本日付けで差し替えてあります。

8年前の無償スクリプトのサポートの為に、わざわざ、FLEUGELzのmizuki様より直接連絡をいただき、本当に頭の下がる思いです。

余談ですが、FLEUGELz様のサイトはしばらくノーコンテンツな空白ページの期間が数年間続いていたように思いますが、今回のような場合を含め、ドメインの維持は大切ですね。webserverの稼働とドメインの生死は気にしていました。はい。

[2012/02/16(Thu) 20:49:36] [admin] [Comments:1] [Trackbacks:0]

[Server]  Apache HTTP Server 2.2.22 Released

 more・・

Apache HTTP Server 2.2.22 がリリースされました。

Changes with Apache 2.2.22
Changes with Apache 2.2.22

*) SECURITY: CVE-2011-3368 (cve.mitre.org)
Reject requests where the request-URI does not match the HTTP
specification, preventing unexpected expansion of target URLs in
some reverse proxy configurations. [Joe Orton]

*) SECURITY: CVE-2011-3607 (cve.mitre.org)
Fix integer overflow in ap_pregsub() which, when the mod_setenvif module
is enabled, could allow local users to gain privileges via a .htaccess
file. [Stefan Fritsch, Greg Ames]

*) SECURITY: CVE-2011-4317 (cve.mitre.org)
Resolve additional cases of URL rewriting with ProxyPassMatch or
RewriteRule, where particular request-URIs could result in undesired
backend network exposure in some configurations.
[Joe Orton]

*) SECURITY: CVE-2012-0021 (cve.mitre.org)
mod_log_config: Fix segfault (crash) when the '%{cookiename}C' log format
string is in use and a client sends a nameless, valueless cookie, causing
a denial of service. The issue existed since version 2.2.17. PR 52256.
[Rainer Canavan ]

*) SECURITY: CVE-2012-0031 (cve.mitre.org)
Fix scoreboard issue which could allow an unprivileged child process
could cause the parent to crash at shutdown rather than terminate
cleanly. [Joe Orton]

*) SECURITY: CVE-2012-0053 (cve.mitre.org)
Fix an issue in error responses that could expose "httpOnly" cookies
when no custom ErrorDocument is specified for status code 400.
[Eric Covener]

*) mod_proxy_ajp: Try to prevent a single long request from marking a worker
in error. [Jean-Frederic Clere]

*) config: Update the default mod_ssl configuration: Disable SSLv2, only
allow >= 128bit ciphers, add commented example for speed optimized cipher
list, limit MSIE workaround to MSIE <= 5. [Kaspar Brand]

*) core: Fix segfault in ap_send_interim_response(). PR 52315.
[Stefan Fritsch]

*) mod_log_config: Prevent segfault. PR 50861. [Torsten F�rtsch
]

*) mod_win32: Invert logic for env var UTF-8 fixing.
Now we exclude a list of vars which we know for sure they dont hold UTF-8
chars; all other vars will be fixed. This has the benefit that now also
all vars from 3rd-party modules will be fixed. PR 13029 / 34985.
[Guenter Knauf]

*) core: Fix hook sorting for Perl modules, a regression introduced in
2.2.21. PR: 45076. [Torsten Foertsch ]

*) Fix a regression introduced by the CVE-2011-3192 byterange fix in 2.2.20:
A range of '0-' will now return 206 instead of 200. PR 51878.
[Jim Jagielski]

*) Example configuration: Fix entry for MaxRanges (use "unlimited" instead
of "0"). [Rainer Jung]

*) mod_substitute: Fix buffer overrun. [Ruediger Pluem, Rainer Jung]

セキュリティーバージョンなので速やかにアップデートしましょう。

Apache 2.2.22 Download

サイト内関連記事
Apacheの脆弱性を攻撃するツール Apache Killer 対策

[2012/02/02(Thu) 02:23:00] [admin] [Comments:0] [Trackbacks:0]

<< 201204のログ | TOP | 201111のログ >>

apache_powered.gif php5_powered.gif eaccelerator_powered.gif zend_optimizer_powered.gif xmail_powered.gif opera9_browser.gif

FLEUGELz