Nginx: Fehler ermöglicht ungeprüften Zugriff auf Dateien

Durch einen Fehler in Nginx können Angreifer ungeprüft sich Zugriff auf ausführbare Dateien auf einem Webserver verschaffen. Neue Versionen beheben den Fehler bereits, ein Workaround gibt es ebenfalls.

Artikel veröffentlicht am ,
Ein Fehler in Nginx erlaubt das ungeprüfte Verarbeiten von Dateien.
Ein Fehler in Nginx erlaubt das ungeprüfte Verarbeiten von Dateien. (Bild: Nginx)

Ein bereits behobener Fehler im Webserver Nginx erlaubt die Übergabe von Verzeichnis- oder Dateipfaden ohne die üblichen Sicherheitsprüfungen. In den aktuellen Versionen 1.5.7 und 1.4.4 des Webservers wurde der Fehler bereits korrigiert. Außerdem gibt es einen Patch. Mit einem temporären Workaround können Administratoren den Fehler selbst beheben. Distributionen wie Red Hat oder Debian werden in Kürze aktualisierte Pakete anbieten. Dort wird der Fehler als kritisch eingestuft.

Stellenmarkt
  1. Senior Fullstack Developer (m/w/d)
    CodeCamp:N GmbH, Nürnberg
  2. Software Tester (m/w/d)
    GVV Versicherungen, Köln
Detailsuche

Der Webserver Nginx in den Versionen 0.8.41 bis 1.5.6 überprüft keine Zeichen in angefragten URIs, die auf ein unmaskiertes Leerzeichen folgen, etwa /foo /.../protected/file. Im HTTP-Protokoll sind solche Zeichenfolgen zwar nicht erlaubt, aus Kompatibilitätsgründen verarbeiteten frühere Versionen von Nginx sie aber dennoch. Auch eine Konfiguration wie location ~ \.php$ { fastcgi_pass … } kann das Ausführen einer Datei mit darauf folgendem Leerzeichen auslösen, etwa /file \0.php, heißt es in dem Security Advisory CVE-2013-4547 des Nginx-Teams.

Reparierte Nginx-Versionen stehen bereit

Der Fehler, den Ivan Fratric vom Google Security Team entdeckte, lässt sich temporär beheben, indem jeder Server{}-Block um folgenden Eintrag ergänzt wird: if ($request_uri ~ " ") { return 444; }. Dabei ist das Leerzeichen zwischen den Anführungszeichen zu beachten.

Der Patch steht auf den Servern des Nginx-Projekts ebenso bereit wie die aktualisierten Versionen 1.5.7 und 1.4.4. Bei den Distributionen wie Debian oder Red Hat ist der Fehler bereits bekannt und sollte in Kürze behoben werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Powertoys
Microsofts kostenlose Tools, die Windows besser machen

Dateien benennen und Programme von überall starten: Mit den richtigen Tools lässt sich Windows besser bedienen. Wir zeigen die Powertoys.
Von Oliver Nickel

Powertoys: Microsofts kostenlose Tools, die Windows besser machen
Artikel
  1. Bundestagswahl: Bitte nicht in Jamaika landen!
    Bundestagswahl
    Bitte nicht in Jamaika landen!

    Ampel oder Jamaika: Grüne und FDP müssen sich nach der Bundestagswahl für eine der beiden Koalitionsoptionen entscheiden. Das sollte ihnen leichtfallen.
    Ein IMHO von Friedhelm Greis

  2. Mr. Goxx: Hamster handelt mit Kryptowährungen und schlägt Aktienindex
    Mr. Goxx
    Hamster handelt mit Kryptowährungen und schlägt Aktienindex

    Seit Juni 2021 ist der Hamster Mr. Goxx erfolgreich im Handel mit Kryptowährungen.

  3. Medion Erazer Hunter X20: Aldi-PC mit Geforce RTX 3080 und Windows 11
    Medion Erazer Hunter X20
    Aldi-PC mit Geforce RTX 3080 und Windows 11

    Der Erazer Hunter X20 nutzt einen wassergekühlten Prozessor und eine schnelle NVMe-SSD. Der Aldi-PC steckt in einem Inwin-Gehäuse.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • 7 Tage Samsung-Angebote bei Amazon (u. a. SSDs, Monitore, TVs) • Samsung Odyssey G5 32" Curved WQHD 144Hz 265€ • Nur noch heute: Black Week bei NBB mit bis zu 50% Rabatt • Acer Nitro 23,8" FHD 165Hz 184,90€ • Alternate (u. a. Cooler Master MH 752 Gaming-Headset 59,90€) [Werbung]
    •  /