Abo
  • IT-Karriere:

Apache-Sicherheitslücke: Optionsbleed bereits 2014 entdeckt und übersehen

Der Optionsbleed-Bug im Apache-Webserver wurde 2014 bereits in einem wissenschaftlichen Paper beschrieben. Allerdings hatte offenbar niemand bemerkt, dass es sich um eine kritische Sicherheitslücke handelt, obwohl kurz zuvor der ähnliche Heartbleed-Bug entdeckt worden war.

Artikel veröffentlicht am , Hanno Böck
Trotz der großen Aufregung um Heartbleed wurde Optionsbleed 2014 übersehen.
Trotz der großen Aufregung um Heartbleed wurde Optionsbleed 2014 übersehen. (Bild: EFF)

"Unterstützung für verschiedene HTTP-Methoden im Web" lautet übersetzt der Titel eines wissenschaftlichen Papers, das 2014 auf der Plattform Arxiv veröffentlicht wurde. Darin haben die Autoren zahlreiche Webseiten mit OPTIONS-Requests gescannt und geprüft, welche HTTP-Methoden diese unterstützen. Ein OPTIONS-Request wird von Servern, die das unterstützen, mit einer Liste der unterstützen Methoden beantwortet.

Stellenmarkt
  1. terranets bw GmbH, Lindorf bei Wendlingen/Kirchheim
  2. Deutsche Rentenversicherung Nord Ost West Informationstechnik GmbH, Düsseldorf

Dabei erwähnen die Autoren auch, dass verschiedene Server ungültige Zeichen im Ausgabeheader enthalten, andere Server schickten sinnlose Ausgaben, die nach HTML-Fragmenten aussahen. Worum es sich dabei handelt, ist aus heutiger Sicht relativ eindeutig: Der Optionsbleed-Bug, eine Sicherheitslücke im Apache-Webserver, die der Autor dieses Textes kürzlich entdeckt hat. Unter bestimmten Umständen verschickt ein Server dabei zufällige Speicherfragmente.

Doch offenbar bemerkten damals weder die Autoren noch die Leser des Papers, dass sie hier deutliche Zeichen für eine Sicherheitslücke vor sich hatten. Auch war den Autoren wohl nicht bekannt, dass es sich um Apache-Webserver handelte.

Kurz nach Heartbleed veröffentlicht

Besonders bemerkenswert daran ist, dass dieses Paper ziemlich genau einen Monat nach der Veröffentlichung des Heartbleed-Bugs in OpenSSL veröffentlicht wurde. Zwar ist Heartbleed von den Auswirkungen her deutlich gravierender als Optionsbleed, allerdings sind beide Fehler von der Funktionsweise sehr ähnlich. In beiden Fällen werden aufgrund von Fehlern beim Speichermanagement zufällige Speicherbereiche an einen anfragenden Nutzer ausgegeben.

Heartbleed sorgte für eine enorme Welle an Aufmerksamkeit. Vermutlich nie zuvor gab es so viele Medienberichte und so viel Aufmerksamkeit für eine einzelne Sicherheitslücke in einer Software. Trotz allem führte das aber offenbar nicht dazu, dass andere Personen, die Belege für eine sehr ähnliche Lücke vor Augen hatten, dies erkannten.



Anzeige
Spiele-Angebote
  1. 4,67€
  2. (-65%) 3,50€
  3. 4,99€
  4. 4,99€

mnementh 22. Sep 2017

Hier gibt es eine Differenz zwischen der OSI und der FSF, wie die entsprechende Klausel...


Folgen Sie uns
       


Besuch im Testturm Rottweil von Thyssen-Krupp - Bericht

Thyssen-Krupp testet in Baden-Württemberg in einen Turm einen revolutionären Aufzug, der ohne Seile auskommt.

Besuch im Testturm Rottweil von Thyssen-Krupp - Bericht Video aufrufen
Adblock Plus: Adblock-Filterregeln können Code ausführen
Adblock Plus
Adblock-Filterregeln können Code ausführen

Unter bestimmten Voraussetzungen können Filterregeln für Adblocker mit einer neuen Funktion Javascript-Code in Webseiten einfügen. Adblock Plus will reagieren und die entsprechende Funktion wieder entfernen. Ublock Origin ist nicht betroffen.
Von Hanno Böck


    Elektromobilität: Was hat ein Kanu mit Autos zu tun?
    Elektromobilität
    Was hat ein Kanu mit Autos zu tun?

    Veteranen der deutschen Autoindustrie wollen mit Canoo den Fahrzeugbau und den Vertrieb revolutionieren. Zunächst scheitern die großen Köpfe aber an den kleinen Hürden der Startupwelt.
    Ein Bericht von Dirk Kunde

    1. EU Unfall-Fahrtenschreiber in Autos ab 2022 Pflicht
    2. Verkehrssenatorin Fahrverbot für Autos in Berlin gefordert
    3. Ventomobil Mit dem Windrad auf Rekordjagd

    Jobporträt: Wenn die Software für den Anwalt kurzen Prozess macht
    Jobporträt
    Wenn die Software für den Anwalt kurzen Prozess macht

    IT-Anwalt Christian Solmecke arbeitet an einer eigenen Jura-Software, die sogar automatisch auf Urheberrechtsabmahnungen antworten kann. Dass er sich damit seiner eigenen Arbeit beraubt, glaubt er nicht. Denn die KI des Programms braucht noch Betreuung.
    Von Maja Hoock

    1. Struktrurwandel IT soll jetzt die Kohle nach Cottbus bringen
    2. IT-Jobporträt Spieleprogrammierer "Ich habe mehr Code gelöscht als geschrieben"
    3. Recruiting Wenn die KI passende Mitarbeiter findet

      •  /