LowPriorityスマートフォン用の表示で見るLowPriorityこの広告は、90日以上更新していないブログに表示しています。対策)vulnやっと出たので動作差分です。2.2.20でエンバグして修正された点が主になります。現時点ではまだリリースノートは更新されていませんが、開発者によるGA投票通過してミラーもされてるので引っ込む事は無いでしょう。今回の件はこれで最後になるといいなぁ。アドバイザリはこちら。ドラフトから正式版に張り替え)大きな変更としては1.3系が影響対象外になった旨が記載されています。FINALhttp://httpd.apache.org/security/CVE-2011-3192.txtRangeリクエスト関連の処理で2.2.19から動作が変わった点は以下です。2番目と4番目は本質的には同じでしたが、実際にバグを踏んだ例があったので分離しています。リグレッションした箇所だけ直して終わりかと思ったら結構変わったようです。(未指定の場合は200区間)1と2は2.2.20と変わっていないので詳細は省略します。負値のみを指定した場合の動作が変更された普通にバグっていたというオチですね。踏んでる人見かけなかったのでこんな使い方してる人は殆ど居ないのかもしれません。Rangeリクエストで全区間要求した場合にレスポンスコードが異なるtrunkのコードでは2.2.19の動作へ戻されてましたが、最終的には2.2.20の動作になりました。報告者のケースは206の応答をRangeサポートの判別に使っていた様ですが、結論としてはレスポンスのAccept-Rangesヘッダで判別せよという事になったみたいです。RFC的には2.2.20以降の200で応答する動作が正しいようです。RFC的には206でSHOULDでした。不正な区間を指定した場合の動作が変更コンテンツサイズが要求した値を超えている場合にエラーが返るようになりました。2.2.20で動作が変わって元に戻ったパターンですね。許可する区間数を設定で決められるようになりました。2.2.21で設定できる値との対応は以下の通りです。設定値の扱いをどうするか最後まで検討していたようで、httpd.confのコメントと一致しない部分がありますがそのうち直るでしょう。指定した値前後の応答は以下の通りです。boundary=xxxxxxxxxx...2.2.20の変更点は前回も書いたとおり、このバージョンは急かされたからなのか結構なバグが混入していました。2.2.21はその後暫くバグ報告が無いか待ってからタグが打たれた訳ですがアドバイザリの更新等も無かったため、2.2.20(各ディストリビューションのバックポートパッチ含む)がそういう状態にあるという事を知らない人も多かったのではないでしょうか。欲を言えば、2.2.20リリース後の数日で既にいくつかの問題に気づいていた訳ですし、以下をアドバイザリのアップデートで公開してから、追加のバグ報告待ちに入った方が良かったと思いました。1.3.xは脆弱性の対象にならない2.2.20には問題があり修正した2.2.21を準備中されていれば、問題を知らずに2.2.20へバージョンアップして、すぐに2.2.21へ再度バージョンアップする羽目になる人も今よりは減ったんじゃないですかね。結果として対象外になった1.3系の対応しようと頑張ってた人とかも同様で。1.3/2.x月別アーカイブはてなブログをはじめよう!nice20さんは、はてなブログを使っています。ブログを報告するスターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。