Modsecurity: Sicherheitslücke in der Web Application Firewall
(Bild: Kacper Pempel/Reuters)

Modsecurity Sicherheitslücke in der Web Application Firewall

Die WAF Modsecurity hat selbst ein Sicherheitsproblem, wodurch Webserver durch HTTP-Anfragen mit XML-Inhalt durch eine Denial-of-Service-Sicherheitslücke außer Betrieb gesetzt werden können.

Anzeige

Die IT-Sicherheitsberatung Softscheck hat eine Sicherheitslücke in der Web Application Firewall (WAF) Modsecurity getestet. Das gab das Unternehmen des Informatikprofessors Hartmut Pohl am 18. September 2013 bekannt. Es war deshalb möglich, den Webserver durch HTTP-Anfragen mit XML-Inhalt über eine Denial-of-Service-Attacke außer Betrieb zu setzen.

Damit Sicherheitssoftware nicht selbst zum Sicherheitsproblem werde, solle sie regelmäßig und gezielt mit den bekannten Verfahren Threat Modeling, Static Source Code Analyse, Penetration Testing und Dynamic Analysis auf Sicherheitslücken hin untersucht werden, rät Pohl. Die Sicherheitslücke ist nicht aktuell und schon behoben. Veröffentlicht wurde sie offiziell am 25. April 2013 als CVE-2013-1915.

WAFs arbeiten mit Black- und Whitelists und filtern den HTTP-Transfer zwischen Server und Client. "Der Vorteil gegenüber herkömmlichen Firewalls ist, dass eine WAF nicht auf den unteren Netzwerkebenen filtert, sondern auf der Anwendungsschicht - Schicht 7 nach OSI-Modell", erklärte das Unternehmen. Herkömmliche Firewalls arbeiteten in der Regel auf Schicht 3 (Vermittlungsschicht) oder Schicht 4 (Transportschicht). Dadurch könnten sie ankommende Anfragen nach IP-Adressen oder Ports filtern. Eine WAF untersuche auch die Inhalte der ankommenden Pakete und könne so Angriffe wie SQL-Injections und Cross Site Scripting abwehren, die herkömmliche Firewalls nicht erkennen. Web Application Firewalls untersuchten ausschließlich HTTP-Pakete, um die Ausnutzung von Sicherheitslücken speziell in Webanwendungen zu verhindern.

Pohl leitet den Präsidiumsarbeitskreis Datenschutz und IT-Sicherheit der Gesellschaft für Informatik (GI). Die Informatikorganisation warnte im Juni 2013 wegen Prism und Tempora vor der trügerischen Sicherheit durch Virensuchprogramme, Firewalls sowie Intrusion-Detection- und Intrusion-Prevention-Systemen. Denn Sicherheitssoftware enthalte viele - nicht immer öffentlich bekannte - Sicherheitslücken, die von Angreifern ausgenutzt würden. Die Angriffstechnik 'Ausnutzung bisher unveröffentlichter Sicherheitslücken' beherrschten heute auch Sicherheitsbehörden in Drittstaaten sowie größere kriminelle Organisationen.


ewatch 19. Sep 2013

Ich vermute mal das Versionen 2.7.0 - 2.7.2 betroffen ist. Dieser Bug hört sich ganz...

Kommentieren



Anzeige

  1. IT-Berater (m/w) - Netzwerke und Systeme / Cisco
    Lufthansa Industry Solutions AS GmbH, Hamburg
  2. Referent/in Porfolio- / Projektmanagement
    Wüstenrot Bausparkasse AG, Ludwigsburg
  3. Software Developer - Cloud Services (m/w)
    Bosch Software Innovations GmbH, Berlin
  4. Senior Consultant SAP BI (m/w)
    INTENSE AG, Würzburg und Köln

Detailsuche


Hardware-Angebote
  1. MSI GeForce GTX 970 Gaming 4G, 4GB GDDR5
    354,69€
  2. ARLT-Sale
    (Restposten, Rücksendungen und Gebrauchtware)
  3. TIPP: Alternate Schnäppchen Outlet
    (täglich neue Deals)

Weitere Angebote


Folgen Sie uns
       


  1. Supernerds

    Angst schüren gegen den Überwachungswahn

  2. O2-Netz

    Mobilfunkkunden von Kabel Deutschland gekündigt

  3. Landkreistag

    Warum der Bund den Glasfaserausbau nicht fördert

  4. Millionen Tonnen

    Große Mengen Elektronikschrott verschwinden aus Europa

  5. Autosteuerung

    Uber heuert die Jeep-Hacker an

  6. Contributor Conference

    Owncloud führt Programm für Bug-Bounties ein

  7. Flexible Electronics

    Pentagon forscht mit Apple und Boeing an Wearables

  8. Private Cloud

    Proxy für Owncloud soll Heimnutzung erleichtern

  9. Geheimdienste

    NSA kann weiter US-Telefondaten sammeln

  10. Die Woche im Video

    Diskettenhaufen und heiße Teilchen



Haben wir etwas übersehen?

E-Mail an news@golem.de



Helium-3: Kommt der Energieträger der Zukunft vom Mond?
Helium-3
Kommt der Energieträger der Zukunft vom Mond?
  1. Stratolaunch Carrier Größtes Flugzeug der Welt soll 2016 erstmals starten
  2. Escape Dynamics Mikrowellen sollen Raumgleiter von der Erde aus antreiben
  3. Raumfahrt Transformer sollen den Mond beleuchten

20 Jahre im Einsatz: Lebenserhaltende Maßnahmen bei Windows 95
20 Jahre im Einsatz
Lebenserhaltende Maßnahmen bei Windows 95
  1. Tool Microsoft Snip erzeugt Screenshots mit Animationen und Sprachmemos
  2. Windows-10-Updates Microsoft intensiviert die Geheimniskrämerei
  3. Vor dem Start von Windows 10 Steigender Marktanteil für Windows 7

The Flock im Test: Versteck spielen, bis alle tot sind
The Flock im Test
Versteck spielen, bis alle tot sind
  1. Lara Go im Test Tomb Raider auf Rätseltour
  2. Ronin im Test Auftragsmord mit Knobelpausen
  3. Test Til Morning's Light Abenteuer von Amazon

  1. Re: Australiens NBN als Vorbild?

    Érdna Ldierk | 21:54

  2. Re: Kündigungsfrist ?

    Eheran | 21:50

  3. Re: Lieber vectoring als 6 Mbit

    /mecki78 | 21:49

  4. Re: In Amerika funktioniert es auch..

    /mecki78 | 21:42

  5. Re: Oha o.o

    Dcs69S | 21:42


  1. 12:57

  2. 11:23

  3. 10:08

  4. 09:35

  5. 12:46

  6. 11:30

  7. 11:21

  8. 11:00


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel