Modsecurity: Sicherheitslücke in der Web Application Firewall
(Bild: Kacper Pempel/Reuters)

Modsecurity Sicherheitslücke in der Web Application Firewall

Die WAF Modsecurity hat selbst ein Sicherheitsproblem, wodurch Webserver durch HTTP-Anfragen mit XML-Inhalt durch eine Denial-of-Service-Sicherheitslücke außer Betrieb gesetzt werden können.

Anzeige

Die IT-Sicherheitsberatung Softscheck hat eine Sicherheitslücke in der Web Application Firewall (WAF) Modsecurity getestet. Das gab das Unternehmen des Informatikprofessors Hartmut Pohl am 18. September 2013 bekannt. Es war deshalb möglich, den Webserver durch HTTP-Anfragen mit XML-Inhalt über eine Denial-of-Service-Attacke außer Betrieb zu setzen.

Damit Sicherheitssoftware nicht selbst zum Sicherheitsproblem werde, solle sie regelmäßig und gezielt mit den bekannten Verfahren Threat Modeling, Static Source Code Analyse, Penetration Testing und Dynamic Analysis auf Sicherheitslücken hin untersucht werden, rät Pohl. Die Sicherheitslücke ist nicht aktuell und schon behoben. Veröffentlicht wurde sie offiziell am 25. April 2013 als CVE-2013-1915.

WAFs arbeiten mit Black- und Whitelists und filtern den HTTP-Transfer zwischen Server und Client. "Der Vorteil gegenüber herkömmlichen Firewalls ist, dass eine WAF nicht auf den unteren Netzwerkebenen filtert, sondern auf der Anwendungsschicht - Schicht 7 nach OSI-Modell", erklärte das Unternehmen. Herkömmliche Firewalls arbeiteten in der Regel auf Schicht 3 (Vermittlungsschicht) oder Schicht 4 (Transportschicht). Dadurch könnten sie ankommende Anfragen nach IP-Adressen oder Ports filtern. Eine WAF untersuche auch die Inhalte der ankommenden Pakete und könne so Angriffe wie SQL-Injections und Cross Site Scripting abwehren, die herkömmliche Firewalls nicht erkennen. Web Application Firewalls untersuchten ausschließlich HTTP-Pakete, um die Ausnutzung von Sicherheitslücken speziell in Webanwendungen zu verhindern.

Pohl leitet den Präsidiumsarbeitskreis Datenschutz und IT-Sicherheit der Gesellschaft für Informatik (GI). Die Informatikorganisation warnte im Juni 2013 wegen Prism und Tempora vor der trügerischen Sicherheit durch Virensuchprogramme, Firewalls sowie Intrusion-Detection- und Intrusion-Prevention-Systemen. Denn Sicherheitssoftware enthalte viele - nicht immer öffentlich bekannte - Sicherheitslücken, die von Angreifern ausgenutzt würden. Die Angriffstechnik 'Ausnutzung bisher unveröffentlichter Sicherheitslücken' beherrschten heute auch Sicherheitsbehörden in Drittstaaten sowie größere kriminelle Organisationen.


ewatch 19. Sep 2013

Ich vermute mal das Versionen 2.7.0 - 2.7.2 betroffen ist. Dieser Bug hört sich ganz...

Kommentieren



Anzeige

  1. Systementwickler (m/w) Materialwirtschaft / Beschaffungslogistik (SAP MM)
    Deutz AG, Köln-Porz
  2. Softwareentwickler/in
    Landeshauptstadt München, München
  3. Softwaretester - Engineering Software (m/w)
    Festo AG & Co. KG, Esslingen bei Stuttgart
  4. Software Entwicklungsingenieur FEM (m/w)
    Continental AG, Hannover

 

Detailsuche


Spiele-Angebote
  1. VORBESTELLBAR: Assassin's Creed Syndicate
    ab 59,95€ (Vorbesteller-Preisgarantie)
  2. VORBESTELLBAR: Until Dawn Special Edition PS4
    79,95€
  3. VORBESTELLAKTION: Call of Duty - Black Ops III
    vorbestellen und Beta-Zugangscode erhalten

 

Weitere Angebote


Folgen Sie uns
       


  1. Project Brillo

    Google vertieft Bemühungen im Smart-Home-Bereich

  2. Umfrage

    IT-Nachwuchs erwartet Einstiegsgehalt von über 46.000 Euro

  3. Google

    Android M mit vielen kleinen Änderungen

  4. Windows 7

    Drahtzieher von PC Fritz erhält über sechs Jahre Haft

  5. NC Soft

    Wildstar wird Free-to-Play

  6. SMS

    O2 warnt Handy-Kunden vor automatischem Internetzugriff

  7. EA Sports

    Fifa 16 bietet Frauenfußball

  8. Squad

    Geistiger Nachfolger von Project Reality sucht Soldaten

  9. Firefox

    Mozilla beginnt, Addons zu signieren

  10. Samsung

    Patent zeigt Laptop-Dock für Dual-Boot-Smartphones



Haben wir etwas übersehen?

E-Mail an news@golem.de



Surface 3 im Test: Tolles teures Teil
Surface 3 im Test
Tolles teures Teil
  1. Surface Pro 3 Microsoft erhöht Preise um bis zu 250 Euro
  2. Surface 3 im Hands on Das Surface ohne RT

SSD HyperX Predator im Test: Kingstons Mischung ist gelungen
SSD HyperX Predator im Test
Kingstons Mischung ist gelungen
  1. Z-Drive 6300 Neue SSD bietet bis zu 6,4 TByte Speicherplatz
  2. Crucial BX100 und MX200 im Test Mehr SSD pro Euro gibt's derzeit nicht
  3. Plextor M6e Black Edition im Kurztest Auch eine günstige SSD kann teuer erkauft sein

BND-Affäre: Keine Frage der Ehre
BND-Affäre
Keine Frage der Ehre
  1. NSA-Affäre Merkel wohl über Probleme mit No-Spy-Abkommen informiert
  2. Freedom Act US-Senat lehnt Gesetz zur NSA-Reform ab
  3. BND-Chef Schindler "Wir sind abhängig von der NSA"

  1. Re: Bemerkenswert..

    Der Held vom... | 20:05

  2. Re: Für mich sind MMORPGs seit ca. 8 Jahren tot.

    twothe | 20:01

  3. Re: 6 Jahre..

    M_Q | 20:00

  4. Re: Lieber wieder in der Halle

    stiGGG | 19:58

  5. Re: die arme Hotline

    monstakind | 19:57


  1. 20:12

  2. 20:06

  3. 19:57

  4. 17:54

  5. 16:40

  6. 16:37

  7. 15:17

  8. 14:53


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel