Abo
  • Services:
Anzeige
Zufällige Speicherfragmente finden sich in der Ausgabe einer HTTP-OPTIONS-Anfrage an einen verwundbaren Apache-Server.
Zufällige Speicherfragmente finden sich in der Ausgabe einer HTTP-OPTIONS-Anfrage an einen verwundbaren Apache-Server. (Bild: Screenshot Hanno Böck)

Die Suche nach dem Bug gestaltet sich schwierig

Versuche, die Betreiber der entsprechenden Server zu erreichen, führten nicht weiter. Die meisten Serverbetreiber antworteten nicht oder waren nicht bereit, Details über ihr Setup mitzuteilen. Doch ein genauerer Blick auf die defekten Header gab einen Hinweis: Teilweise enthielten sie Bruchstücke von Konfigurationsoptionen, die nur in Apache genutzt werden. Es schien daher zumindest sehr plausibel, dass es sich um einen Bug in Apaches Webserver handelt.

Anzeige

Nach einigen Mails an das Apache-Security-Team konnte das Rätsel gelöst werden: Es handelte sich um einen Use-After-Free-Bug beim Zusammenstellen der Liste von unterstützten Methoden. Der Fehler tritt allerdings nur in einer eher ungewöhnlichen Konstellation auf.

Unbekannte Methoden verursachen Fehler

Mittels der Limit-Direktive kann in htaccess-Dateien der Zugriff auf bestimmte HTTP-Methoden beschränkt werden. Hier kam es zu dem Fehler: Versucht man, mittels htaccess den Zugriff auf eine Methode zu beschränken, die der Server noch nicht kennt, wird der entsprechende String für den Allow-Header neu zusammengesetzt. Dabei werden jedoch Strings verwendet, die bereits freigegeben wurden. Daher kommt es zu einer Memory Corruption - und der String kann alles Mögliche enthalten. Eine htaccess-Datei, die den Fehler auslöst, könnte also so aussehen:

<Limit FOOBAR>
</Limit>

Trotz dieser eher ungewöhnlichen Konstellation sind zahlreiche Server zu finden, die von dieser Lücke betroffen sind. Etwa 500 Server aus der Alexa-Top-1-Million-Liste schicken entsprechende korrupte Header. Ein Grund dafür dürfte sein, dass der Bug über Nutzergrenzen hinweg auftreten kann. Wenn auf einem Server mit mehreren Nutzern und Hosts in einem virtuellen Host die entsprechende htaccess-Option gesetzt ist, führt das auch dazu, dass andere Hosts entsprechend korrupte Header verschicken.

Gefahr für Webhoster

In Shared-Hosting-Umgebungen ist es üblich, dass sich Dutzende oder Hunderte von Webseiten einen Apache-Server teilen. Ein einziger Kunde, der eine entsprechende htaccess-Option gesetzt hat, reicht aus, um alle Webseiten auf demselben Server zu gefährden.

Ein besonderes Risiko: Ein Angreifer, der über diese Lücke Bescheid weiß, kann selbst bei einem Hostingprovider eine entsprechende htaccess-Datei hochladen und somit den Fehler auslösen. Durch entsprechende OPTIONS-Anfragen kann er anschließend Speicherfragmente von anderen Hosts, die ihm nicht gehören, auslesen.

Ein Patch für die Lücke ist bereits im Subversion-Repository von Apache vorhanden. Künftig werden in der htaccess definierte Methoden nicht mehr in den Allow-String aufgenommen. Über die distros-Mailingliste wurden die Sicherheitsteams von Linux- und BSD-Distributionen über die entsprechende Lücke vorab informiert. Aktualisierte Pakete für alle gängigen Distributionen sollten im Lauf des Tages bereitstehen. Von Apache selbst gibt es bislang noch kein Update.

 Optionsbleed: Apache-Webserver blutet

eye home zur Startseite
thomas.pi 20. Sep 2017

Man muss die htaccess ja auch nicht verbieten, sondern nur auf das nötigste begrenzen...

TheUnichi 19. Sep 2017

.htaccess, nach wie vor. Die Konfiguration lokal ablegen zu können, hat in vielen...

NaruHina 19. Sep 2017

Zurnot kann man das selber machen oder machen lassen, Freelancer kann man dafür auch...

Keridalspidialose 18. Sep 2017

-> https://www.fiverr.com Da klöppelt dir sicher jemand für Zwei-Fuffzich 'n Logo dafür.

hannob (golem.de) 18. Sep 2017

Test-Skript: https://github.com/hannob/optionsbleed Funktioniert allerdings nicht...



Anzeige

Stellenmarkt
  1. über Hays AG, Hamburg
  2. Haufe Group, Freiburg im Breisgau
  3. über Nash direct GmbH, Stuttgart-Möhringen
  4. expert SE, Langenhagen


Anzeige
Spiele-Angebote
  1. (-37%) 37,99€
  2. 15,99€
  3. für 44,99€ statt 60,00€

Folgen Sie uns
       


  1. Tesla Semi

    Teslas Truck gibt es ab 150.000 US-Dollar

  2. Mobilfunk

    Netzqualität in der Bahn weiter nicht ausreichend

  3. Bake in Space

    Bloß keine Krümel auf der ISS

  4. Sicherheitslücke

    Fortinet vergisst, Admin-Passwort zu prüfen

  5. Angry Birds

    Rovio verbucht Quartalsverlust nach Börsenstart

  6. Erneuerbare Energien

    Tesla baut in drei Monaten einen Netzspeicher in Australien

  7. Netzwerkdurchsetzungsgesetz

    Zweites Löschzentrum von Facebook startet in Essen

  8. Raumfahrtpionier

    Der Mann, der lange vor SpaceX günstige Raketen entwickelte

  9. Auch Italien

    Amazon-Streik am Black Friday an sechs Standorten

  10. Urteil

    Winsim-Preiserhöhung von Drillisch ist hinfällig



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Montagewerk in Tilburg: Wo Tesla seine E-Autos für Europa produziert
Montagewerk in Tilburg
Wo Tesla seine E-Autos für Europa produziert
  1. Elektroauto Walmart will den Tesla-Truck
  2. Elektrosportwagen Tesla Roadster 2 beschleunigt in 2 Sekunden auf Tempo 100
  3. Elektromobilität Tesla Truck soll in 30 Minuten 630 km Reichweite laden

Fitbit Ionic im Test: Die (noch) nicht ganz so smarte Sportuhr
Fitbit Ionic im Test
Die (noch) nicht ganz so smarte Sportuhr
  1. Verbraucherschutz Sportuhr-Hersteller gehen unsportlich mit Daten um
  2. Wii Remote Nintendo muss 10 Millionen US-Dollar in Patentstreit zahlen
  3. Ionic Fitbit stellt Smartwatch mit Vier-Tage-Akku vor

E-Golf im Praxistest: Und lädt und lädt und lädt
E-Golf im Praxistest
Und lädt und lädt und lädt
  1. Garmin Vivoactive 3 im Test Bananaware fürs Handgelenk
  2. Microsoft Sonar überprüft kostenlos Webseiten auf Fehler
  3. Inspiron 5675 im Test Dells Ryzen-Gaming-PC reicht mindestens bis 2020

  1. Re: Lohnt sich ziemlich

    MrAnderson | 14:15

  2. Re: Milchmädchenrechnung

    BerndRubel | 14:14

  3. Re: besser *beitrag auf den Sprit als teure...

    matzems | 14:13

  4. Re: Subvention?

    Clown | 14:13

  5. Re: Systemupdates unter Windows

    quasides | 14:12


  1. 12:50

  2. 12:35

  3. 12:00

  4. 11:47

  5. 11:25

  6. 10:56

  7. 10:40

  8. 10:28


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel