Modsecurity: Sicherheitslücke in der Web Application Firewall
(Bild: Kacper Pempel/Reuters)

Modsecurity Sicherheitslücke in der Web Application Firewall

Die WAF Modsecurity hat selbst ein Sicherheitsproblem, wodurch Webserver durch HTTP-Anfragen mit XML-Inhalt durch eine Denial-of-Service-Sicherheitslücke außer Betrieb gesetzt werden können.

Anzeige

Die IT-Sicherheitsberatung Softscheck hat eine Sicherheitslücke in der Web Application Firewall (WAF) Modsecurity getestet. Das gab das Unternehmen des Informatikprofessors Hartmut Pohl am 18. September 2013 bekannt. Es war deshalb möglich, den Webserver durch HTTP-Anfragen mit XML-Inhalt über eine Denial-of-Service-Attacke außer Betrieb zu setzen.

Damit Sicherheitssoftware nicht selbst zum Sicherheitsproblem werde, solle sie regelmäßig und gezielt mit den bekannten Verfahren Threat Modeling, Static Source Code Analyse, Penetration Testing und Dynamic Analysis auf Sicherheitslücken hin untersucht werden, rät Pohl. Die Sicherheitslücke ist nicht aktuell und schon behoben. Veröffentlicht wurde sie offiziell am 25. April 2013 als CVE-2013-1915.

WAFs arbeiten mit Black- und Whitelists und filtern den HTTP-Transfer zwischen Server und Client. "Der Vorteil gegenüber herkömmlichen Firewalls ist, dass eine WAF nicht auf den unteren Netzwerkebenen filtert, sondern auf der Anwendungsschicht - Schicht 7 nach OSI-Modell", erklärte das Unternehmen. Herkömmliche Firewalls arbeiteten in der Regel auf Schicht 3 (Vermittlungsschicht) oder Schicht 4 (Transportschicht). Dadurch könnten sie ankommende Anfragen nach IP-Adressen oder Ports filtern. Eine WAF untersuche auch die Inhalte der ankommenden Pakete und könne so Angriffe wie SQL-Injections und Cross Site Scripting abwehren, die herkömmliche Firewalls nicht erkennen. Web Application Firewalls untersuchten ausschließlich HTTP-Pakete, um die Ausnutzung von Sicherheitslücken speziell in Webanwendungen zu verhindern.

Pohl leitet den Präsidiumsarbeitskreis Datenschutz und IT-Sicherheit der Gesellschaft für Informatik (GI). Die Informatikorganisation warnte im Juni 2013 wegen Prism und Tempora vor der trügerischen Sicherheit durch Virensuchprogramme, Firewalls sowie Intrusion-Detection- und Intrusion-Prevention-Systemen. Denn Sicherheitssoftware enthalte viele - nicht immer öffentlich bekannte - Sicherheitslücken, die von Angreifern ausgenutzt würden. Die Angriffstechnik 'Ausnutzung bisher unveröffentlichter Sicherheitslücken' beherrschten heute auch Sicherheitsbehörden in Drittstaaten sowie größere kriminelle Organisationen.


ewatch 19. Sep 2013

Ich vermute mal das Versionen 2.7.0 - 2.7.2 betroffen ist. Dieser Bug hört sich ganz...

Kommentieren



Anzeige

  1. Spezialist/in für Web und technische Communities
    Bosch Connected Devices and Solutions GmbH, Reutlingen
  2. Berater IT-Architektur (m/w)
    Cassini AG, verschiedene Standorte
  3. Teamleiter/in Technical After Sales Support
    Bosch Sicherheitssysteme Engineering GmbH, Nürnberg
  4. Projektverantwortlicher (m/w) Diagnose / Service-Funktionen von Lokomotiven
    Siemens AG, Erlangen

 

Detailsuche


Hardware-Angebote
  1. Turtle Beach Kopfhörer reduziert
  2. Apple TV (3. Generation, 1080p)
    74,90€
  3. TIPP: Kingston HyperX Cloud Headset
    84,90€

 

Weitere Angebote


Folgen Sie uns
       


  1. Forschung

    Virtuelle Nase soll gegen Simulatorkrankheit helfen

  2. 3D-NAND

    Intels Flash-Chips verdreifachen den SSD-Speicherplatz

  3. NSA-Ausschuss

    DE-CIX erhebt schwere Vorwürfe wegen BND-Abhörung

  4. Mars

    Curiosity findet biologisch verwertbaren Stickstoff

  5. Benchmark

    Neue 3DMark-Szene testet API-Overhead

  6. Verschlüsselung

    RC4 erneut unter Beschuss

  7. Online-Speicherdienst

    Amazon Cloud Drive bietet unlimitierten Speicherplatz

  8. Netflix

    Bis 2020 überholt Streaming das klassische Fernsehen

  9. Codemasters

    F1 2015 fährt auf neuen Pneus

  10. Bitwhisper

    Abgehört per Fernwärme



Haben wir etwas übersehen?

E-Mail an news@golem.de



AMD Freesync im Test: Kostenlos im gleichen Takt
AMD Freesync im Test
Kostenlos im gleichen Takt
  1. eDP 1.4a Displayport-Standard für 8K-Bildschirme ist fertig
  2. Adaptive Sync für Notebooks Nvidia arbeitet an G-Sync ohne Zusatzmodul
  3. LG 34UM67 Erster Ultra-Widescreen-Monitor mit Freesync vorgestellt

Openstack: Viele brauchen es, keiner versteht es - wir erklären es
Openstack
Viele brauchen es, keiner versteht es - wir erklären es
  1. Cebit 2015 Das Open Source Forum debattiert über Limux

Raspberry Pi 2: Die Feierabend-Maschine
Raspberry Pi 2
Die Feierabend-Maschine
  1. GCHQ Bastelnde Spione bauen Raspberry-Pi-Cluster
  2. Raspberry Pi 2 Fotografieren nur ohne Blitz
  3. Internet der Dinge Windows 10 läuft kostenlos auf dem Raspberry Pi 2

  1. Re: leider nicht praktisch dank deutschem DSL

    NIKB | 23:21

  2. Re: was ist mit 24p, 50/60hz umschaltung?

    PiranhA | 23:19

  3. Re: Windows und kritische Infrastruktur

    simpletech | 23:11

  4. Re: Danke Mircosoft

    pythoneer | 23:07

  5. Re: Und wann gibt's das dann für Normalbürger?

    john4344 | 23:04


  1. 20:06

  2. 18:58

  3. 18:54

  4. 18:21

  5. 17:58

  6. 17:52

  7. 17:25

  8. 17:11


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel