Toutes les versions actuelles du celebre serveur web Apache (http://httpd.apache.org) mis apart la version CVS la plus recente sont sujet a un default qui sur les plateformes Windows et autres 32 bits a la particularité de couper le process qui sert a la connection, entrainant la creation d’un nouveau process. A repetition, ce genre d’attaque sur ces plateformes pourrait bien causer de serieux problemes de performances, voir un arret complet du service. (un Denial of Service - DoS).

Sur les plateformes 64bits comme UltraSparc et autres, ce probleme étant géré d’une facon bien differente, l’attaque pourrait theoriquement resulter a l’execution de code malicieux.

Microsoft IIS a eu un probleme similaire avec le meme protocol (Chunk encoding, ou requetes HTTP fragementés, pour economiser la bande passante du client) qui resulte a un buffer overflow bien complet, permettant a l’assaillant d’executer n’importe quel code sur le serveur distant.

Apache Security Advisory IIS CERT Security Advisory Discussions sur le sujet