Se
ha anunciado una vulnerabilidad de denegación de servicio en el servidor web Monkey
Web Server versiones anteriores a 1.5.3.
Monkey Web Server es, como su
nombre indica, un servidor web muy ligero y rápido y que además es software
libre. Es muy útil y usado en pequeños sistemas como RaspberryPi o incluso
móviles con software modificado, ya soporta procesadores ARM, x86 y x64.
Monkey Web Server cuenta con una
tabla de descriptores de fichero (FDT) que es utilizada para compartir
descriptores de fichero abiertos entre varios hilos y diferentes virtual hosts.
Esto hace que la memoria usada para estos descriptores, en promedio, sea menor.
En la configuración por defecto esta característica está activada.
Al realizar una petición que
genere algún error personalizado, se abre el correspondiente archivo de disco
para dicho error. Si un atacante solicita muchas páginas de error distintas, se
abrirán un gran número de descriptores de fichero en la tabla FDT, hasta que el
proceso alcance el límite de descriptores de fichero impuesto por el sistema operativo
(que viene definido por el parámetro del sistema 'ulimit'). A partir de entonces, cualquier petición que requiera la
apertura de un archivo quedará bloqueada y generará un error 403 hasta que el servidor
web se reinicie.
La vulnerabilidad tiene asignado
el CVE-2014-5336 y queda solucionada en la versión 1.5.3.
Más información:
Monkey HTTP Server v1.5.3 - Release notes:
GitHub - Request: new request session flag to
mark those files opened
by FDT:
Antonio Sánchez
