Apache-Wurm nutzt OpenSSL-Sicherheitslücke aus

Slapper-Wurm sucht nach veralteten OpenSSL-Versionen. Wie zahlreiche Anbieter von Antiviren-Software berichten, verbreitet sich ein Wurm über Apache-Web-Server mit aktiviertem SSL. Der jüngst entdeckte Apache-Wurm Slapper nutzt eine Sicherheitslücke in OpenSSL, um ein Shell-Skript auf Linux-Systemen mit installiertem Apache zu starten und sich stetig weiter zu verbreiten. Außerdem ist eine Distributed-Denial-of-Service-Attacke denkbar.

16. September 2002 um 09:56 Uhr / Ingo Pakalski

Zunächst versucht der Wurm eine Verbindung zum Apache-Web-Server aufzubauen, um herauszufinden, ob und welche Apache-Version verwendet wird. Ist dem Wurm die gefundene Apache-Fassung sowie die verwendete OpenSSL-Version genehm, wird der Wurm-Code an den Server übertragen und ein Shell-Skript gestartet. Daraufhin nistet sich der Wurm im System ein und fahndet nach weiteren Opfern, um sich stetig weiter zu verbreiten. Zunächst wurde der Wurm auf Rechnern in Osteuropa gesichtet, verbreitet sich aber stetig über den gesamten Globus.

Da der Wurm auf dem UDP-Port 2002 lauscht, wäre auch eine Distributed-Denial-of-Service-(DDoS-)Attacke möglich. Der Wurm nutzt eine im August entdeckte Sicherheitslücke in OpenSSL aus, so dass von dem Problem die Linux-Distributionen SuSe, Mandrake, RedHat, Slackware und Debian betroffen sind. Um einen Wurm-Befall zu verhindern, sollte mindestens OpenSSL 0.9.6e aufgespielt werden – das aktuelle OpenSSL besitzt bereits die Versionsnummer 0.9.6g.