Modsecurity: Sicherheitslücke in der Web Application Firewall
(Bild: Kacper Pempel/Reuters)

Modsecurity Sicherheitslücke in der Web Application Firewall

Die WAF Modsecurity hat selbst ein Sicherheitsproblem, wodurch Webserver durch HTTP-Anfragen mit XML-Inhalt durch eine Denial-of-Service-Sicherheitslücke außer Betrieb gesetzt werden können.

Anzeige

Die IT-Sicherheitsberatung Softscheck hat eine Sicherheitslücke in der Web Application Firewall (WAF) Modsecurity getestet. Das gab das Unternehmen des Informatikprofessors Hartmut Pohl am 18. September 2013 bekannt. Es war deshalb möglich, den Webserver durch HTTP-Anfragen mit XML-Inhalt über eine Denial-of-Service-Attacke außer Betrieb zu setzen.

Damit Sicherheitssoftware nicht selbst zum Sicherheitsproblem werde, solle sie regelmäßig und gezielt mit den bekannten Verfahren Threat Modeling, Static Source Code Analyse, Penetration Testing und Dynamic Analysis auf Sicherheitslücken hin untersucht werden, rät Pohl. Die Sicherheitslücke ist nicht aktuell und schon behoben. Veröffentlicht wurde sie offiziell am 25. April 2013 als CVE-2013-1915.

WAFs arbeiten mit Black- und Whitelists und filtern den HTTP-Transfer zwischen Server und Client. "Der Vorteil gegenüber herkömmlichen Firewalls ist, dass eine WAF nicht auf den unteren Netzwerkebenen filtert, sondern auf der Anwendungsschicht - Schicht 7 nach OSI-Modell", erklärte das Unternehmen. Herkömmliche Firewalls arbeiteten in der Regel auf Schicht 3 (Vermittlungsschicht) oder Schicht 4 (Transportschicht). Dadurch könnten sie ankommende Anfragen nach IP-Adressen oder Ports filtern. Eine WAF untersuche auch die Inhalte der ankommenden Pakete und könne so Angriffe wie SQL-Injections und Cross Site Scripting abwehren, die herkömmliche Firewalls nicht erkennen. Web Application Firewalls untersuchten ausschließlich HTTP-Pakete, um die Ausnutzung von Sicherheitslücken speziell in Webanwendungen zu verhindern.

Pohl leitet den Präsidiumsarbeitskreis Datenschutz und IT-Sicherheit der Gesellschaft für Informatik (GI). Die Informatikorganisation warnte im Juni 2013 wegen Prism und Tempora vor der trügerischen Sicherheit durch Virensuchprogramme, Firewalls sowie Intrusion-Detection- und Intrusion-Prevention-Systemen. Denn Sicherheitssoftware enthalte viele - nicht immer öffentlich bekannte - Sicherheitslücken, die von Angreifern ausgenutzt würden. Die Angriffstechnik 'Ausnutzung bisher unveröffentlichter Sicherheitslücken' beherrschten heute auch Sicherheitsbehörden in Drittstaaten sowie größere kriminelle Organisationen.


ewatch 19. Sep 2013

Ich vermute mal das Versionen 2.7.0 - 2.7.2 betroffen ist. Dieser Bug hört sich ganz...

Kommentieren



Anzeige

  1. Softwaretester - Engineering Software (m/w)
    Festo AG & Co. KG, Esslingen bei Stuttgart
  2. Anwendungs- und Softwareberater/in
    Robert Bosch GmbH, Leonberg
  3. Projektleiter (m/w) für IT-Transformationsprogramm in der Betriebsorganisation
    Allianz Deutschland AG, Unterföhring
  4. Systemspezialist Bankensysteme (m/w)
    Wirecard Bank AG, Aschheim bei München

 

Detailsuche


Blu-ray-Angebote
  1. TIPP: Pulp Fiction [Blu-ray] [Special Edition]
    9,99€
  2. Jurassic Park - Steelbook [Blu-ray] [Limited Edition]
    9,90€
  3. NEU: 7 Tage Tiefpreise bei Amazon
    (u. a. Blu-rays: Der Hobbit: Die Schlacht der fünf Heere 11,11€, The Scorpion King 1-3 Box 9...

 

Weitere Angebote


Folgen Sie uns
       


  1. EA Sports

    Fifa 16 bietet Frauenfußball

  2. Squad

    Geistiger Nachfolger von Project Reality sucht Soldaten

  3. Firefox

    Mozilla beginnt, Addons zu signieren

  4. Samsung

    Patent zeigt Laptop-Dock für Dual-Boot-Smartphones

  5. A10-7870K

    AMDs Kaveri-Refresh bietet mehr Takt und Kühlung

  6. Intelligente Scanner-App

    Office Lens für Android gibt es im Play Store

  7. Freifunker

    Offene Funknetze von neuer Vorratsspeicherung betroffen

  8. Studie

    Docker-Images oft mit Sicherheitslücken

  9. Smart Cast

    Lenovos Smartphone mit drehbarem Laserprojektor

  10. Precision M3800 und Book XC1505 im Test

    Schwergewichtige Linux-Notebooks für zu Hause



Haben wir etwas übersehen?

E-Mail an news@golem.de



Soziales Netzwerk Sociax: Das Facebook mit mehr Privatsphäre
Soziales Netzwerk Sociax
Das Facebook mit mehr Privatsphäre
  1. Nepal Facebook, Google und Openstreetmap helfen Erdbebenopfern
  2. Karrierenetzwerk LinkedIn will Zukauf für 1,5 Milliarden US-Dollar
  3. Soziale Netzwerke Vernetzt und zugenäht!

Berlin E-Prix: Motoren, die nach Star Wars klingen
Berlin E-Prix
Motoren, die nach Star Wars klingen
  1. Funktechnik Daimler und Qualcomm vernetzen das Auto

Apps für Googles Cardboard: Her mit der Pappe!
Apps für Googles Cardboard
Her mit der Pappe!
  1. Game of Thrones Auf der Mauer weht ein eisiger Wind
  2. VR im Journalismus So nah, dass es fast wehtut
  3. Deep angespielt "Atme tief ein und tauche durch die virtuelle Welt"

  1. Re: RasPi 2 oder FTV-Stick für Kodi

    dantist | 15:47

  2. Re: "Das ist eine Pervertierung des...

    |=H | 15:46

  3. Wer will das denn sehen?

    TheBigLou13 | 15:46

  4. Re: Ob das wohl angenommen wird?

    holysmoke | 15:45

  5. Re: Endlich,

    user0345 | 15:45


  1. 15:17

  2. 14:53

  3. 14:32

  4. 14:05

  5. 14:00

  6. 13:50

  7. 13:02

  8. 12:40


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel