Abo
  • Services:

Die Suche nach dem Bug gestaltet sich schwierig

Versuche, die Betreiber der entsprechenden Server zu erreichen, führten nicht weiter. Die meisten Serverbetreiber antworteten nicht oder waren nicht bereit, Details über ihr Setup mitzuteilen. Doch ein genauerer Blick auf die defekten Header gab einen Hinweis: Teilweise enthielten sie Bruchstücke von Konfigurationsoptionen, die nur in Apache genutzt werden. Es schien daher zumindest sehr plausibel, dass es sich um einen Bug in Apaches Webserver handelt.

Stellenmarkt
  1. Bosch Gruppe, Berlin
  2. OKI EUROPE LIMITED, Branch Office Düsseldorf, Düsseldorf

Nach einigen Mails an das Apache-Security-Team konnte das Rätsel gelöst werden: Es handelte sich um einen Use-After-Free-Bug beim Zusammenstellen der Liste von unterstützten Methoden. Der Fehler tritt allerdings nur in einer eher ungewöhnlichen Konstellation auf.

Unbekannte Methoden verursachen Fehler

Mittels der Limit-Direktive kann in htaccess-Dateien der Zugriff auf bestimmte HTTP-Methoden beschränkt werden. Hier kam es zu dem Fehler: Versucht man, mittels htaccess den Zugriff auf eine Methode zu beschränken, die der Server noch nicht kennt, wird der entsprechende String für den Allow-Header neu zusammengesetzt. Dabei werden jedoch Strings verwendet, die bereits freigegeben wurden. Daher kommt es zu einer Memory Corruption - und der String kann alles Mögliche enthalten. Eine htaccess-Datei, die den Fehler auslöst, könnte also so aussehen:

<Limit FOOBAR>
</Limit>

Trotz dieser eher ungewöhnlichen Konstellation sind zahlreiche Server zu finden, die von dieser Lücke betroffen sind. Etwa 500 Server aus der Alexa-Top-1-Million-Liste schicken entsprechende korrupte Header. Ein Grund dafür dürfte sein, dass der Bug über Nutzergrenzen hinweg auftreten kann. Wenn auf einem Server mit mehreren Nutzern und Hosts in einem virtuellen Host die entsprechende htaccess-Option gesetzt ist, führt das auch dazu, dass andere Hosts entsprechend korrupte Header verschicken.

Gefahr für Webhoster

In Shared-Hosting-Umgebungen ist es üblich, dass sich Dutzende oder Hunderte von Webseiten einen Apache-Server teilen. Ein einziger Kunde, der eine entsprechende htaccess-Option gesetzt hat, reicht aus, um alle Webseiten auf demselben Server zu gefährden.

Ein besonderes Risiko: Ein Angreifer, der über diese Lücke Bescheid weiß, kann selbst bei einem Hostingprovider eine entsprechende htaccess-Datei hochladen und somit den Fehler auslösen. Durch entsprechende OPTIONS-Anfragen kann er anschließend Speicherfragmente von anderen Hosts, die ihm nicht gehören, auslesen.

Ein Patch für die Lücke ist bereits im Subversion-Repository von Apache vorhanden. Künftig werden in der htaccess definierte Methoden nicht mehr in den Allow-String aufgenommen. Über die distros-Mailingliste wurden die Sicherheitsteams von Linux- und BSD-Distributionen über die entsprechende Lücke vorab informiert. Aktualisierte Pakete für alle gängigen Distributionen sollten im Lauf des Tages bereitstehen. Von Apache selbst gibt es bislang noch kein Update.

 Optionsbleed: Apache-Webserver blutet
  1.  
  2. 1
  3. 2


Anzeige
Blu-ray-Angebote
  1. (u. a. 3 Blu-rays für 15€, 2 Neuheiten für 15€)
  2. (u. a. Logan, John Wick, Alien Covenant, Planet der Affen Survival)

thomas.pi 20. Sep 2017

Man muss die htaccess ja auch nicht verbieten, sondern nur auf das nötigste begrenzen...

TheUnichi 19. Sep 2017

.htaccess, nach wie vor. Die Konfiguration lokal ablegen zu können, hat in vielen...

NaruHina 19. Sep 2017

Zurnot kann man das selber machen oder machen lassen, Freelancer kann man dafür auch...

Keridalspidialose 18. Sep 2017

-> https://www.fiverr.com Da klöppelt dir sicher jemand für Zwei-Fuffzich 'n Logo dafür.

hannob (golem.de) 18. Sep 2017

Test-Skript: https://github.com/hannob/optionsbleed Funktioniert allerdings nicht...


Folgen Sie uns
       


Probefahrt mit dem Audi E-Tron - Bericht

Golem.de hat den neuen Audi E-Tron auf einem Ausflug in die Wüste von Abu Dhabi getestet.

Probefahrt mit dem Audi E-Tron - Bericht Video aufrufen
Red Dead Online angespielt: Schweigsam auf der Schindmähre
Red Dead Online angespielt
Schweigsam auf der Schindmähre

Der Multiplayermodus von Red Dead Redemption 2 schickt uns als ehemaligen Strafgefangenen in den offenen Wilden Westen. Golem.de hat den handlungsgetriebenen Einstieg angespielt - und einen ersten Onlineüberfall gemeinsam mit anderen Banditen unternommen.

  1. Spielbalance Updates für Red Dead Online und Battlefield 5 angekündigt
  2. Rockstar Games Red Dead Redemption 2 geht schrittweise online
  3. Games US-Spielemarkt erreicht Rekordumsätze

Requiem zur Cebit: Es war einmal die beste Messe
Requiem zur Cebit
Es war einmal die beste Messe

Nach 33 Jahren ist Schluss mit der Cebit und das ist mehr als schade. Wir waren dabei, als sie noch nicht nur die größte, sondern auch die beste Messe der Welt war - und haben dann erlebt, wie Trends verschlafen wurden. Ein Nachruf.
Von Nico Ernst

  1. IT-Messe Die Cebit wird eingestellt

Sony-Kopfhörer WH-1000XM3 im Test: Eine Oase der Stille oder des puren Musikgenusses
Sony-Kopfhörer WH-1000XM3 im Test
Eine Oase der Stille oder des puren Musikgenusses

Wir haben die dritte Generation von Sonys Top-ANC-Kopfhörer getestet - vor allem bei der Geräuschreduktion hat sich einiges getan. Wer in lautem Getümmel seine Ruhe haben will, greift zum WH-1000XM3. Alle Nachteile der Vorgängermodelle hat Sony aber nicht behoben.
Ein Test von Ingo Pakalski


      •  /