🚀 go-pugleaf

On 2021-01-18, Marcin Debowski <agatek@INVALID.zoho.com> wrote:
> Mam dziwną sytuację. Debian 8 z Apachem. zaktualizowane, vhost z ssl, 
> self signed, snake oil z dystrybucji. Do dziś działało dobrze i nagle 
> stadnizowąd przeglądarki, różne mówią:
>
> Error code: SSL_ERROR_RX_RECORD_TOO_LONG. 
>
> Zrestartowałem apacza. Nie pomogło. Zrestartowałem całość. Nie pomogło. 
> W logach, mimo największego stopnia gadatliwości nie ma nic (dosłownie).
>
> journalctl -xe|grep apache
> Jan 18 12:38:24 xxxxxx apachectl[6241]: AH00180: WARNING: 
> MaxRequestWorkers of 150 exceeds ServerLimit value of 10 servers, 
> decreasing MaxRequestWorkers to 10. To increase, please see the 
> ServerLimit directive.
>
> Ale ten komunikat był już wcześniej i działało. 
>
> Jakieś dyskowe cache się zdegerowało, bo nic innego mi do łba nie 
> przychodzi? Ki diabeł?
> A może weszła jakaś dyrektywa i przeglądarki przestały akceptować 
> wariant protokołu?
>
> Apache2 2.4.25-3
> openssl 1.1.1d-1
>
> strings /usr/lib/apache2/modules/mod_ssl.so|egrep '^mod_ssl\/|^OpenSSL '
> OpenSSL 1.0.2s  28 May 2019
> mod_ssl/2.4.25

Czy biorąc pod uwagę "MaxRequestWorkers of 150 exceeds ServerLimit 
value of 10 servers", może być to:

CVE-2020-1967 (OpenSSL advisory) [High severity] 21 April 2020: Server 
    or client applications that call the SSL_check_chain() function 
    during or after a TLS 1.3 handshake may crash due to a NULL pointer 
    dereference as a result of incorrect handling of the 
    "signature_algorithms_cert" TLS extension. The crash occurs if an 
    invalid or unrecognised signature algorithm is received from the 
    peer. This could be exploited by a malicious peer in a Denial of 
    Service attack. OpenSSL version 1.1.1d, 1.1.1e, and 1.1.1f are 
    affected by this issue. This issue did not affect OpenSSL versions 
    prior to 1.1.1d. Reported by Bernd Edlinger.

Ale netstat / ss nie pokazują aktywnych połączeń na 443.

-- 
Marcin