Aplicaciones Moviles Gratis, Seguridad, Tecnologia, Android, Apple: Apache

Guía de fortificación y seguridad de servidores web Apache

<div style="text-align: justify;">
De acuerdo con <a href="http://news.netcraft.com/archives/2013/10/02/october-2013-web-server-survey.html" rel="nofollow" target="_blank">Netcraft</a>, a día de hoy Apache sigue siendo el rey en servidores web y por lo tanto el más usado a través de Internet.</div>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj0tQSe_9njAu1hnCXb5VXuwy-uomguXlXJADYSLAK6Fyi1fIP5T80McVktyr9Kz2QvWvboOiZqTnyEMJMr7ktluSqX5ujN0kzyRzFocybGKskyjbC1Br6vQHmt4pTXaYoxtUMz28ZuMXp9/s1600/GlobalSign-Customers-Protected-Against-Phishing-Attacks-with-Netcraft-Technology-2.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="304" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj0tQSe_9njAu1hnCXb5VXuwy-uomguXlXJADYSLAK6Fyi1fIP5T80McVktyr9Kz2QvWvboOiZqTnyEMJMr7ktluSqX5ujN0kzyRzFocybGKskyjbC1Br6vQHmt4pTXaYoxtUMz28ZuMXp9/s320/GlobalSign-Customers-Protected-Against-Phishing-Attacks-with-Netcraft-Technology-2.png" width="320" /></a></div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj0tQSe_9njAu1hnCXb5VXuwy-uomguXlXJADYSLAK6Fyi1fIP5T80McVktyr9Kz2QvWvboOiZqTnyEMJMr7ktluSqX5ujN0kzyRzFocybGKskyjbC1Br6vQHmt4pTXaYoxtUMz28ZuMXp9/s1600/GlobalSign-Customers-Protected-Against-Phishing-Attacks-with-Netcraft-Technology-2.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"></a><br /> </div>
<div style="text-align: justify;">
Es por ello, que también sea seguramente el más atacado por la cuota  de
 mercado que ocupa. Por lo que tener un servidor Apache bien  
configurado es una tarea obligatoria para cualquier administrador.<br />
<br />
<a href="http://www.chandank.com/webservers/apache/apache-web-server-hardening-security" target="_blank">Esta guía</a>
  recientemente publicada nos ayuda con esta tarea. Trata desde el  
filtrado de información, hasta la configuración de los ficheros logs,  
pasando por la autorización, seguridad en aplicaciones web,  
configuración de SSL y Mod Security.<br />
<br />
Es una guía muy concisa y resumida que nos lleva al grano. El índice de la misma es el siguiente:<br />
</div>
<ul style="text-align: justify;">
<li><a href="http://www.chandank.com/webservers/apache/apache-web-server-hardening-security" target="_blank">Introduction</a></li>
<li><a href="http://www.chandank.com/webservers/apache/apache-web-server-hardening-security?showall=&start=1" target="_blank">Information Leakage</a></li>
<li><a href="http://www.chandank.com/webservers/apache/apache-web-server-hardening-security?showall=&start=2" target="_blank">Authorization</a></li>
<li><a href="http://www.chandank.com/webservers/apache/apache-web-server-hardening-security?showall=&start=3" target="_blank">Web Application Security</a></li>
<li><a href="http://www.chandank.com/webservers/apache/apache-web-server-hardening-security?showall=&start=4" target="_blank">SSL</a></li>
<li><a href="http://www.chandank.com/webservers/apache/apache-web-server-hardening-security?showall=&start=5" target="_blank">Mod Security</a></li>
<li><a href="http://www.chandank.com/webservers/apache/apache-web-server-hardening-security?showall=&start=6" target="_blank">General Configuration</a></li>
</ul>
<div style="text-align: justify;">
Fuente: <a href="http://www.cyberhades.com/2013/10/20/guia-de-fortificacion-y-seguridad-de-servidores-web-apache/" target="_blank">CyberHades</a></div>
<div style="background-color: white; border: medium none; color: black; overflow: hidden; text-align: left; text-decoration: none;">
<br /></div>

De acuerdo con Netcraft , a día de hoy Apache sigue siendo el rey en servidores web y por lo tanto el más usado a través de Internet. ...

Ejecución de comandos en Apache Web Server

<div style="text-align: justify;">
<a href="http://svn.apache.org/viewvc/httpd/httpd/branches/2.2.x/STATUS?view=markup&pathrev=1469311">Apache ha corregido un fallo de seguridad</a> que podría permitir a un atacante <a href="http://www.scip.ch/en/?vuldb.8746">ejecutar comandos si los inyecta previamente en los logs</a> (lo que se consigue simplemente realizando peticiones HTTP especialmente manipuladas).</div>
<div style="text-align: justify;">
</div>
<div class="separator" style="clear: both; text-align: center;">
<a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh8KtNFHJTjjYIa-Dcc8gGCmY5iUYZ3OHNdzbvJKbWE12ZnrwBXME_XoRbw-kry0npT01vQbHIDotKf7V7HnxoTCrxuxVpSxDuBCkzBIAXRjwpRCNcnftOMFAzVWYHbkY2XIw_xLYqCdVzG/s1600/apache_logo.png" imageanchor="1" style="margin-left: 1em; margin-right: 1em;"><img border="0" height="241" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEh8KtNFHJTjjYIa-Dcc8gGCmY5iUYZ3OHNdzbvJKbWE12ZnrwBXME_XoRbw-kry0npT01vQbHIDotKf7V7HnxoTCrxuxVpSxDuBCkzBIAXRjwpRCNcnftOMFAzVWYHbkY2XIw_xLYqCdVzG/s1600/apache_logo.png" width="400" /></a></div>
<div style="text-align: justify;">
<br />
<br />
<b>El fallo se encuentra en el módulo mod_rewrite del servidor web Apache</b>,
 que no filtra ciertos caracteres y por tanto podría permitir la 
ejecución de código arbitrario de forma remota si un atacante deja 
comandos en los logs y luego son interpretados en consola.</div>
<div style="text-align: justify;">
<br />
</div>
<div class="separator" style="clear: both; text-align: center;">
<img border="0" height="333" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEinyCaTrQKd-kF-hw8-MQlX8nbsvWPxmzqg-7KJoUQp1wlG-17oJ_O6hDLJ7LhP2u2Nra6TvF80GpvMX1VMS8CalaCconxIVllv3vrvFNWLKYKOZxZXGpKHQyy673pFeEVPys7Qrc68MzY/s400/Apache_vuln_mod_rewrite.png" width="400" /></div>
<br />
<div style="text-align: justify;">
<i>mod_rewrite</i> es un módulo del servidor web Apache que permite 
reescribir las URL solicitadas sobre la marcha basándose en reglas. 
Dichas reglas de reescritura pueden ser invocadas desde los ficheros 
'httpd.conf' de forma global o <i>'.htaccess'</i> en cada directorio. 
mod_rewrite es ampliamente utilizado para crear direcciones URL 
alternativas para las páginas dinámicas de forma que resulten más 
legibles, fáciles de recordar por los usuarios, y también mejor 
indexadas por los motores de búsqueda o buscadores.<br /></div>
<div style="text-align: justify;">
Joe Orton ha descubierto que la función <i>'do_rewritelog'</i>, localizada en el fichero <i>'modules/mappers/mod_rewrite.c'</i>,
 no filtra adecuadamente los caracteres no imprimibles cuando escribe 
los datos en el archivo de registro (logs). Si se usa la directiva 
RewriteLog, un atacante remoto podría aprovechar este fallo para 
ejecutar comandos arbitrarios a través de peticiones HTTP especialmente 
manipuladas. Por ejemplo, que contengan una secuencia de escape para un 
terminal si los archivos de logs son mostrados.<br /><br />
La vulnerabilidad, <a href="http://people.apache.org/%7Ejorton/mod_rewrite-CVE-2013-1862.patch">identificada como CVE-2013-1862</a>, afecta a la versión del servidor Apache 2.2.24, aunque también podrían estar comprometidas versiones anteriores. <b>En la versión 2.2.25 ha sido corregida.</b></div>
<div style="text-align: justify;">
<br /></div>
<div style="text-align: justify;">
Fuente: <a href="http://unaaldia.hispasec.com/2013/05/ejecucion-de-comandos-en-apache-web.html">Hispasec</a></div>
<div style="background-color: white; border: medium none; color: black; overflow: hidden; text-align: left; text-decoration: none;">
<br /></div>

Apache ha corregido un fallo de seguridad que podría permitir a un atacante ejecutar comandos si los inyecta previamente en los logs (lo ...