Modsecurity: Sicherheitslücke in der Web Application Firewall
(Bild: Kacper Pempel/Reuters)

Modsecurity Sicherheitslücke in der Web Application Firewall

Die WAF Modsecurity hat selbst ein Sicherheitsproblem, wodurch Webserver durch HTTP-Anfragen mit XML-Inhalt durch eine Denial-of-Service-Sicherheitslücke außer Betrieb gesetzt werden können.

Anzeige

Die IT-Sicherheitsberatung Softscheck hat eine Sicherheitslücke in der Web Application Firewall (WAF) Modsecurity getestet. Das gab das Unternehmen des Informatikprofessors Hartmut Pohl am 18. September 2013 bekannt. Es war deshalb möglich, den Webserver durch HTTP-Anfragen mit XML-Inhalt über eine Denial-of-Service-Attacke außer Betrieb zu setzen.

Damit Sicherheitssoftware nicht selbst zum Sicherheitsproblem werde, solle sie regelmäßig und gezielt mit den bekannten Verfahren Threat Modeling, Static Source Code Analyse, Penetration Testing und Dynamic Analysis auf Sicherheitslücken hin untersucht werden, rät Pohl. Die Sicherheitslücke ist nicht aktuell und schon behoben. Veröffentlicht wurde sie offiziell am 25. April 2013 als CVE-2013-1915.

WAFs arbeiten mit Black- und Whitelists und filtern den HTTP-Transfer zwischen Server und Client. "Der Vorteil gegenüber herkömmlichen Firewalls ist, dass eine WAF nicht auf den unteren Netzwerkebenen filtert, sondern auf der Anwendungsschicht - Schicht 7 nach OSI-Modell", erklärte das Unternehmen. Herkömmliche Firewalls arbeiteten in der Regel auf Schicht 3 (Vermittlungsschicht) oder Schicht 4 (Transportschicht). Dadurch könnten sie ankommende Anfragen nach IP-Adressen oder Ports filtern. Eine WAF untersuche auch die Inhalte der ankommenden Pakete und könne so Angriffe wie SQL-Injections und Cross Site Scripting abwehren, die herkömmliche Firewalls nicht erkennen. Web Application Firewalls untersuchten ausschließlich HTTP-Pakete, um die Ausnutzung von Sicherheitslücken speziell in Webanwendungen zu verhindern.

Pohl leitet den Präsidiumsarbeitskreis Datenschutz und IT-Sicherheit der Gesellschaft für Informatik (GI). Die Informatikorganisation warnte im Juni 2013 wegen Prism und Tempora vor der trügerischen Sicherheit durch Virensuchprogramme, Firewalls sowie Intrusion-Detection- und Intrusion-Prevention-Systemen. Denn Sicherheitssoftware enthalte viele - nicht immer öffentlich bekannte - Sicherheitslücken, die von Angreifern ausgenutzt würden. Die Angriffstechnik 'Ausnutzung bisher unveröffentlichter Sicherheitslücken' beherrschten heute auch Sicherheitsbehörden in Drittstaaten sowie größere kriminelle Organisationen.


ewatch 19. Sep 2013

Ich vermute mal das Versionen 2.7.0 - 2.7.2 betroffen ist. Dieser Bug hört sich ganz...

Kommentieren



Anzeige

  1. IT-Support-Spezialisten (m/w)
    Thinking Objects GmbH, Korntal-Münchingen (bei Stuttgart)
  2. Re­quire­ments-In­ge­nieur (m/w)
    S1nn GmbH & Co. KG, Stutt­gart
  3. Mitarbeiter (m/w) technischer Filialsupport
    Dänisches Bettenlager GmbH & Co. KG, Handewitt bei Flensburg
  4. Teamleiter IT (m/w)
    über Baumann Unternehmensberatung AG, Schwandorf

 

Detailsuche


Folgen Sie uns
       


  1. Panasonic Lumix DMC-LX100 im Test

    Kamera zum Begeistern und zum Verzweifeln

  2. Kanzlerhandy

    Bundesanwaltschaft will NSA-Ermittlungsverfahren einstellen

  3. Internetsuche

    EU-Parlamentarier erwägen Google-Aufspaltung

  4. 15 Jahre Unreal Tournament

    Spiel, Bot und Sieg

  5. Inmarsat und Alcatel Lucent

    Internetzugang im Flugzeug mit 75 MBit/s

  6. Managed Apps

    Unternehmen können App-Store von Windows 10 anpassen

  7. Elektronikdiscounter

    Wie Preisvergleichsdienste ausgehebelt werden

  8. Open Data

    Cern befreit LHC-Kollisionsdaten

  9. Multimediabibliothek

    FFmpeg dank Debian wieder in Ubuntu

  10. Valve Software

    Neue Richtlinien für Early Access



Haben wir etwas übersehen?

E-Mail an news@golem.de



Yoga 3 Pro Convertible im Test: Flach, leicht, hochauflösend, kurzatmig
Yoga 3 Pro Convertible im Test
Flach, leicht, hochauflösend, kurzatmig
  1. Benchmark Apple und Nvidia schlagen manchmal Intels Core M
  2. Weniger Consumer-Notebooks Toshiba baut 900 Arbeitsplätze in der PC-Sparte ab
  3. Asus Zenbook UX305 Das flachste Ultrabook mit QHD-Display

IMHO zum Jugendmedienschutz: Altersschranke nützt nicht Kindern, sondern Erotikseiten
IMHO zum Jugendmedienschutz
Altersschranke nützt nicht Kindern, sondern Erotikseiten
  1. Pornofilter Internet Provider gegen britische Zensurkultur
  2. Internetzensur Tor und die große chinesische Firewall
  3. Kein britisches Modell Medienrat will Pornofilter ohne Voraktivierung

Lichtfeldkamera Lytro Illum: Das Spiel mit der Tiefenschärfe
Lichtfeldkamera Lytro Illum
Das Spiel mit der Tiefenschärfe
  1. Lichtfeldkamera Lytro will in neue Märkte einsteigen
  2. Augmented Reality Google investiert 542 Millionen US-Dollar in Magic Leap
  3. Lytro Lichtfeldfotografie bildet die Tiefe der Welt ab

    •  / 
    Zum Artikel