Apache Server Status: Falsch konfigurierte Websites verraten Passwörter
Apache Server Status (Bild: Screenshot Golem.de)

Apache Server Status Falsch konfigurierte Websites verraten Passwörter

Zahlreiche Websites, darunter auch sehr große, geben jedem Einblick in den Status ihrer Apache-Server, bei wenigen tauchen dort auch Passwörter von Nutzern auf.

Anzeige

Daniel Cid vom Sicherheitsunternehmen Sucuri ist der Frage nachgegangen, welche Websites ihren Apache Server Status für jeden lesbar ins Netz stellen. Er hat dazu rund 10 Millionen Websites automatisiert überprüft und dabei zahlreiche Websites gefunden, bei denen das der Fall ist. Die entsprechende Liste hat Cid unter urlfind.org ins Netz gestellt.

Darunter sind bekannte Websites wie php.net, cloudflare.com, disney.go.com, latimes.com, staples.com, tweetdeck.com, nba.com, ford.com, cisco.com und apache.org. Letztere geben an, den Serverstatus bewusst ins Netz zu stellen, andere, wie php.net, cloudflare.com oder latimes.com, haben den Fehler nach einem Hinweis korrigiert.

Der Apache Server Status verrät, welche Zugriffe der jeweilige Webserver gerade verarbeitet, einschließlich IP-Adressen und aufgerufener URLs. Das kann mitunter zu einem Sicherheitsproblem führen, denn Cid fand auf diesem Weg unter anderem die URLs zu einigen Administrationskonsolen für Websites, die ungesichert im Netz stehen. Je nach Konfiguration lässt sich auch ablesen, wie viele Zugriffe und welchen Traffic ein Server verarbeitet.

Der Metasploit-Architekt HD Moore hat die Untersuchung von Cid mit den laut Alexa Top-100.000-Websites nachvollzogen und laut Ars Technica dabei in rund 45 Minuten 1.774 Websites gefunden, die ihren Serverstatus ins Netz stellen. Darunter auch Websites, bei denen Session-IDs oder das Anmeldepasswort der Nutzer im Klartext in der URL auftauchen, die auf der Server-Status-Seite zu sehen sind.

Wie sich der Serverstatus absichern lässt, ist in der Apache-Dokumentation beschrieben.


Baron Münchhausen. 05. Nov 2012

Falsch konfigurierte Websites ergibt einfach keinen Sinn. Wohl eher falsch konfigurierte...

Korashen 05. Nov 2012

Es stimmt schon, dass der Apache-Status hier nicht das Problem ist, sondern eben die...

Spaghetticode 03. Nov 2012

Da habe ich keine Übermittlung von Passwörtern über URL-Parameter gesehen. Dass kein SSL...

Vanger 02. Nov 2012

Auf meinen Bug-Report vom 17.10.2012 habe ich nur ein "Not a bug" zurückbekommen... Der...

dabbes 02. Nov 2012

Was ist daran unseriös? Nur weil du es als anstößig empfindest muss es ja nichts...

Kommentieren



Anzeige

  1. IT-Architekt / Projektleiter (m/w) SAP / SAP HANA
    Capgemini Deutschland GmbH, mehrere Standorte
  2. Testmanagement Prozessmanager (m/w)
    dSPACE GmbH, Paderborn
  3. Mitarbeiter für die technische Service-Hotline (m/w)
    ADG Apotheken-Dienstleistungsgesellschaft mbH, Stuttgart
  4. Inbetriebnehmer / Programmierer (m/w)
    Luft- und Thermotechnik Bayreuth GmbH, Goldkronach

 

Detailsuche


Folgen Sie uns
       


  1. Nvidia-Grafikkarten

    Energieeffiziente GTX 980 und 970 mit Auto-Downsampling

  2. Oracle

    Larry Ellison tritt als CEO zurück

  3. Mitbewohner geärgert

    Böser Streich mit Facebook-Werbung

  4. Square Enix

    Final Fantasy 13 erscheint für PC

  5. Entlassungen

    Telekom verkleinert Online-Innovationsabteilung stark

  6. Buchpreisbindung

    Buchhandel erzwingt höheren Preis bei Amazon

  7. PC-Spiele mit 4K, 5K, 6K

    So klappt's mit Downsampling

  8. Piratenpartei

    Berliner Landeschef Lauer verlässt die Partei

  9. Paketverwaltung

    Apt mit Lücken bei der Validierung

  10. Amazon-Tablet

    Neues Fire HD mit 6 Zoll für 100 Euro



Haben wir etwas übersehen?

E-Mail an news@golem.de



Smartphone-Diebstahl: Sicher ist nur, wer schnell reagiert
Smartphone-Diebstahl
Sicher ist nur, wer schnell reagiert
  1. Google Zukunft des Projekts Android Silver ungewiss
  2. Sicherheitslücke bei Android AOSP-Browser soll über Javascript angreifbar sein
  3. Android-Versionen Kitkat verbreitet sich langsamer als Jelly Bean

Mobile Encryption App angeschaut: Telekom verschlüsselt Telefonie
Mobile Encryption App angeschaut
Telekom verschlüsselt Telefonie
  1. Magenta Mobil Deutsche Telekom startet neues Tarif-Portfolio
  2. Telekom Störungen bei der IP-Telefonie
  3. Quartalsbericht Telekom macht weiter keine genauen Angaben zu FTTH

Galaxy Note Edge im Hands On: Das erste Smartphone mit sinnvoll gebogenem Display
Galaxy Note Edge im Hands On
Das erste Smartphone mit sinnvoll gebogenem Display
  1. Phicomm Passion im Hands On Anständiges Full-HD-Smartphone mit 64-Bit-Prozessor
  2. Interview mit John Carmack "Gear VR ist das Tollste, was ich in 20 Jahren gemacht habe"
  3. Nokia Lumia 735 Das OLED-Weitwinkel-Selfie-Phone

    •  / 
    Zum Artikel