Webserver: Keine Pflege mehr für Apache 2.0
Version 2.0 des Apache-Webservers erhält keine weiteren Updates und auch keine Sicherheitspatches mehr. Anwender sollen sobald wie möglich auf Version 2.2 oder 2.4 aktualisieren.
Mit dem letzten Update 2.0.65 haben die Apache-Entwickler den Support für die 2.0er Reihe ihres Webservers abgeschlossen. Es wird keine Sicherheitsupdates für Apache 2.0 mehr geben, das vor elf Jahren erschienen ist. Die Entwickler raten dringend dazu, auf die aktuelleren Versionen 2.2 oder 2.4 umzusteigen.
Der Patch selbst schließt noch sechs Sicherheitslücken in Apache 2.0, darunter einen, der es Angreifern erlaubt, wegen eines Integer Overflows über eine speziell präparierte .htaccess-Datei Berechtigungen zu erhöhen. Zwar lässt sich die Lücke nicht mehr ausnutzen, allerdings kann der Arbeitsspeicher immer noch über eine manipulierte Zugangsdatei aufgefüllt werden. Dieser Fehler wird in Apache 2.0 nicht mehr behoben, in Version 2.2 hingegen schon. Für diese Version ist das Update 2.2.25 ebenfalls veröffentlicht worden.
Reparaturen gegen DoS und Übernahmen
Des Weiteren wurde in Modul mod_rewrite ein Fehler behoben, der Escape-Sequenzen in Protokolldateien schreibt und es Angreifern dadurch ermöglicht, den Webserver zu übernehmen. Zusätzlich enthält das Update einen Fix in der Kommunikation zwischen Unter- und Elternprozessen, wonach ein nicht privilegierter Unterprozess einen Absturz des Elternprozesses verursachen kann. Ein weiterer Patch verhindert Denial-of-Service-Angriffe, indem es den Umgang mit Byte-Ranges verbessert. Ein anderer behebt Fehler bei Fehlermeldungen im Zusammenhang mit HttpOnly-Cookies.
Updates und aktuelle Versionen sind auf den Servern des Apache-Projekts als Download verfügbar. Eine ausführliche Liste und dazugehörige Beschreibungen aller Fehler haben die Entwickler ebenfalls zusammengetragen.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
