Apache・エラーメモ
#Apache #エラーメモ
Content-Lengthヘッダーが無視される
CVE-2024-24795により、
デフォルトで、Content-Lengthヘッダーが無視されるようになる。
バックグラウンドのアプリケーションが信頼できる場合は、以下を設定すると今までと同じ動作になる。
SetEnv ap_trust_cgilike_cl yes
参考
https://www.ibm.com/support/pages/websphere-application-serverliberty含むの重要情報-0
https://www.suse.com/ja-jp/support/kb/doc/?id=000021486
https://lists.debian.org/debian-lts-announce/2024/05/msg00013.html
LogLevel http:trace6を、Apache confファイルに設定し、エラーログを確認。
以下のように、Content-Lengthが削除される。
code:txt
Thu Nov 14 15:40:19.883288 2024 proxy_fcgi:trace4 pid 975257 util_script.c(568): client 172.31.12.74:25538 Headers from script 'index.php':
Thu Nov 14 15:40:19.883307 2024 proxy_fcgi:trace4 pid 975257 util_script.c(571): client 172.31.12.74:25538 Date: Thu, 14 Nov 2024 06:40:19 GMT
Thu Nov 14 15:40:19.883311 2024 proxy_fcgi:trace4 pid 975257 util_script.c(571): client 172.31.12.74:25538 Expires: Thu, 19 Nov 1981 08:52:00 GMT
Thu Nov 14 15:40:19.883313 2024 proxy_fcgi:trace4 pid 975257 util_script.c(571): client 172.31.12.74:25538 Cache-Control: no-store, no-cache, must-revalidate
Thu Nov 14 15:40:19.883315 2024 proxy_fcgi:trace4 pid 975257 util_script.c(571): client 172.31.12.74:25538 Pragma: no-cache
Thu Nov 14 15:40:19.883318 2024 proxy_fcgi:trace4 pid 975257 util_script.c(571): client 172.31.12.74:25538 Content-Type: application/octet-stream
Thu Nov 14 15:40:19.883320 2024 proxy_fcgi:trace4 pid 975257 util_script.c(571): client 172.31.12.74:25538 Content-Disposition: attachment; filename="file.bin"
Thu Nov 14 15:40:19.883322 2024 proxy_fcgi:trace4 pid 975257 util_script.c(571): client 172.31.12.74:25538 Content-Length: 73
Thu Nov 14 15:40:19.883385 2024 http:trace3 pid 975257 http_filters.c(1141): client 172.31.12.74:25538 Response sent with status 200, headers:
Thu Nov 14 15:40:19.883390 2024 http:trace5 pid 975257 http_filters.c(1150): client 172.31.12.74:25538 Date: Thu, 14 Nov 2024 06:40:19 GMT
Thu Nov 14 15:40:19.883392 2024 http:trace5 pid 975257 http_filters.c(1153): client 172.31.12.74:25538 Server: Apache
Thu Nov 14 15:40:19.883395 2024 http:trace4 pid 975257 http_filters.c(971): client 172.31.12.74:25538 Expires: Thu, 19 Nov 1981 08:52:00 GMT
Thu Nov 14 15:40:19.883397 2024 http:trace4 pid 975257 http_filters.c(971): client 172.31.12.74:25538 Cache-Control: no-store, no-cache, must-revalidate
Thu Nov 14 15:40:19.883399 2024 http:trace4 pid 975257 http_filters.c(971): client 172.31.12.74:25538 Pragma: no-cache
Thu Nov 14 15:40:19.883401 2024 http:trace4 pid 975257 http_filters.c(971): client 172.31.12.74:25538 Content-Disposition: attachment; filename=\\"file.bin\\"
Thu Nov 14 15:40:19.883405 2024 http:trace4 pid 975257 http_filters.c(971): client 172.31.12.74:25538 Connection: close
Thu Nov 14 15:40:19.883407 2024 http:trace4 pid 975257 http_filters.c(971): client 172.31.12.74:25538 Content-Type: application/octet-stream
補足、
Apacheのソース￥
https://github.com/omnigroup/Apache/blob/526ef6bb9f1988be6583cecea96598b6cb1b0d6b/httpd/modules/metadata/mod_headers.c#L946
----
.htpasswdは絶対パスで指定する必要が有る。
client denied by server configurationがエラーログに書き出された。
403レスポンスされている。
Apache 2.4から設定方法が変わり、Allow, DenyではなくRequireディレクティブで設定するべきみたい。
参考
ClientDeniedByServerConfiguration - HTTPD - Apache Software Foundation
Apacheの起動が遅い
大量のファイル消したら軽くなったので、ドキュメントルートに、ファイルが多くある場合
Options FollowSymLinksも影響ある？