Sicherheitslücke im Apache

Dieses Thema: "Sicherheitslücke im Apache" im Forum "Security Talk" wurde erstellt von Nightwing, 18.06.2002.

  1. #1 Nightwing, 18.06.2002
    Nightwing

    Nightwing User

    Dabei seit:
    08.04.2002
    Beiträge:
    108
    Zustimmungen:
    0
    Ort:
    Oberhausen
    Sicherheitslücke im Apache

    Buffer-Overflow erlaubt das Ausführen von beliebigem Code

    Der weit verbreitete Web-Server Apache enthält eine Sicherheitslücke, die es unter bestimmten Umständen erlaubt, beliebigen Code auf einem verwundbaren Rechner auszuführen. Betroffen sind sowohl Apache 1.3.x als auch Apache 2.x auf allen Plattformen. Durch einen Rechenfehler wird die Länge des für "chunk encoding" benötigten Puffers falsch berechnet. In der Folge weist der Apache Webserver eine Pufferüberlaufschwachstelle auf, durch die Angreifer möglicherweise beliebigen Programmcode über eine Netzwerkverbindung ausführen können. Der Programmcode wird mit den Privilegien des Apache-Prozesses ausgeführt.

    Bei der Apache-2.x-Version scheint durch diese Schwachstelle keine Ausführung von Programmcode möglich zu sein, jedoch kann diese Schwachstelle zu einem Denial of Service (DoS) ausgenutzt werden, so die Apache-Entwickler.

    Für die Windows-Version von Apache 1.3.24 liegen zudem Berichte vor, dass Exploits entwickelt wurden, die das Ausführen beliebigen Codes erlauben. Zudem legen Windows und Netware dabei einen neuen Prozess und lesen die Konfiguration neu ein, statt einen Child-Prozess zu starten, was zu größeren Pausen führt als auf anderen Plattformen.

    Auf 32-Bit-Unix-Plattformen in Verbindung mit Apache 1.3.x führt der Fehler zu einer "Segmentation Violation", der Kindprozess stirbt. Auf 64-Bit-Plattformen wird der Überlauf allerdings kontrolliert, wodurch diese Systeme möglicherweise verwundbar werden.

    Bislang steht die Veröffentlichung des offiziellen Patches noch aus, das Apache-Team arbeitet nach eigenen Angaben an einer neuen Version, die das Problem beheben soll. Ein Debian-Paket mit einem noch kaum getesteten Patch aus dem Apache-CVS, der das Problem beheben soll, solange mod_prxy nicht verwendet wird, stellt das CERT der Universität Stuttgart zur Verfügung. Der von der Firma ISS angebotene Patch hingegen löst das Problem nicht, so die Apache-Entwickler.

    ( quelle: www.golem.de )
     
  2. devilz

    devilz Pro*phet
    Administrator

    Dabei seit:
    01.05.2002
    Beiträge:
    12.244
    Zustimmungen:
    0
    Ort:
    Hessen
    UI UI UI !

    Ich hoffe das wir schnell behoben .... !
     
  3. #3 Nightwing, 18.06.2002
    Nightwing

    Nightwing User

    Dabei seit:
    08.04.2002
    Beiträge:
    108
    Zustimmungen:
    0
    Ort:
    Oberhausen
    hehe

    Das rennt bei mir noch auf dem server. kommt davon wenn man so faul ist wie ich :]
     
Thema:

Sicherheitslücke im Apache

Die Seite wird geladen...

Sicherheitslücke im Apache - Ähnliche Themen

  1. Weitere Sicherheitslücke in Android-Handys

    Weitere Sicherheitslücke in Android-Handys: Cyberkriminelle können sich über scheinbar harmlose Apps fast vollen Zugriff auf Android-Handys erschleichen. So können Apps den Status einer...
  2. Mozilla erweitert Prämienzahlungen für entdeckte Sicherheitslücken

    Mozilla erweitert Prämienzahlungen für entdeckte Sicherheitslücken: Die Mozilla Foundation hat ihre Initiative für das Auffinden von Sicherheitslücken weiter verstärkt. Die maximale Höhe der Prämien wurde...
  3. TrueCrypt frei von Sicherheitslücken

    TrueCrypt frei von Sicherheitslücken: Die vor einem Jahr initiierte »zweite Phase« eines umfassenden Audits des Quellcodes von TrueCrypt ist nun beendet. Der Quellcode ist laut diesen...
  4. »Row Hammer«: Speicherphänomene führen zu Sicherheitslücken

    »Row Hammer«: Speicherphänomene führen zu Sicherheitslücken: Ein als »Row Hammer« bei DRAM-Herstellern bekanntes Phänomen lässt sich unter Umständen dazu nutzen, ein System zu kompromittieren und...
  5. FREAK: Erneute Sicherheitslücke in SSL

    FREAK: Erneute Sicherheitslücke in SSL: Kryptografieforscher haben gravierende Fehler in verschiedenen SSL/TLS-Implementationen entdeckt. Das FREAK genannte Problem kann Server dazu...