0-Day-Exploit: Sicherheitslücke in Apache geschlossen

Die jüngst bekanntgewordene Sicherheitslücke im Apache-Web-Server ist geschlossen worden. Updates mit entsprechenden Bugfixes stehen zum Download bereit. Allerdings ist das Problem nicht ganz behoben, denn der Fehler betrifft auch das darunterliegende Protokoll.

31. August 2011 um 12:20 Uhr / Jörg Thoma

Apache 2.2.20 behebt eine schwere Sicherheitslücke. Bild: Apache-Projekt

Apache 2.2.20 schließt eine Sicherheitslücke, über die der freie Webserver zum Einfrieren gebracht werden konnte. Allerdings löst das Update nicht das Grundproblem, denn auch das Protokoll HTTP 1.1 bietet die entsprechende Angriffsmöglichkeit. Ein Vorschlag zur Änderung der Behandlung der Byte-Range-Requests liegt dem IETF bereits vor.

Einstweilen wurde Apache so angepasst, dass die Behandlung von Byte-Range-Requests weniger Speicher beansprucht. Wenn die Summe aller Ranges in einer Anfrage die der Ursprungsdatei übersteigt, dann wird stattdessen die Datei gesendet. Zusätzlich wurden Fehler in den Modulen mod_authnz_ldap2, mod_filter und mod_reqtimeout behoben.

In dem Updatepaket befinden sich Apache Portable Runtime 1.4.5 und die APR Utility Library 1.3.12, die laut Apache-Entwickler ebenfalls eingespielt werden müssen, um die Lücke zu schließen. In der Windows-Version muss zusätzlich noch die Bibliothek libapriconv auf Version 1.2.1 aktualisiert werden. Ob und wann weitere Versionen des Apache-Servers ein Bugfix erhalten, steht noch nicht fest. Laut Apache sind die Versionen 1.3 und 2.x betroffen.