Webserver: Gefährliche Lücke in Apache 2.x

Im Webserver Apache 2.x ist eine Sicherheitslücke, die aus der Ferne ausgenutzt werden kann - auch ohne Authentifizierung.

Artikel veröffentlicht am ,
Der Apache Webserver ist verwundbar.
Der Apache Webserver ist verwundbar. (Bild: Apache Software Foundation)

Der Webserver Apache ist von der Ferne aus angreifbar. Von der Sicherheitslücke betroffen sind laut der Zero Day Initiative sämtliche Versionen von Apache 2.x. Darüber lassen sich unter Umständen Anmeldeinformationen auslesen. Außerdem könnte die Lücke dazu genutzt werden, um Code auf einem verwundbaren Apache-Server auszuführen. Die Lücke lässt sich aus der Ferne und ohne Zugangsberechtigung ausnutzen.

Stellenmarkt
  1. Administrator IT-Operations (m/w/d)
    Ludwig Beck AG, München
  2. DevOps Engineer (m/w/d)
    J. Schmalz GmbH, Glatten
Detailsuche

Der Fehler ist im Modul mod_status. Beim Aktualisieren eines Status kann eine Wettlaufsituation (Race Condition) entstehen, die durch mehrfache Anfragen mit dem Handler server-status ausgelöst werden kann. Das Modul, das unter anderem Statistiken zu einem Webserver sammelt und anzeigt, ist allerdings nicht immer standardmäßig aktiviert. Außerdem lässt sich der externe Zugriff auf das Modul deaktivieren, falls es nicht abgeschaltet werden soll:

<Location /server-status>
   SetHandler server-status
   Order Deny,Allow
   Deny from all
   Allow from 127.0.0.1
</Location>

Der Fehler wurde dem Apache-Team bereits Ende Mai 2014 gemeldet. Inzwischen liegen für Apache 2.2 und 2.4 Patches bereit, die im Upstream-Quellcode bereits eingepflegt sind. Entsprechende Updates dürften in den nächsten Stunden in den Software-Repositories der diversen Distributionen bereitgestellt werden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


botribun 18. Jul 2014

http://www.heise.de/newsticker/meldung/Fuenf-Luecken-im-Apache-Webserver-geschlossen...

c4u 18. Jul 2014

ich wollte damit nur darauf hinweisen das die vorgeschlagene lösung im thema eigentlich...

Schnarchnase 18. Jul 2014

Und du glaubst, dass man so einem Tool vertrauen kann? Apache ist der Webserver der mit...

User_x 17. Jul 2014

ea gilt ja zu unterscheiden zwischen einbruch root... oder da der server eh nur...



Aktuell auf der Startseite von Golem.de
Energiespeicher
Große Druckluftspeicher locken Investorengelder an

Hydrostor bietet eine langlebige Alternative zu Netzspeichern aus Akkus, die zumindest in den 2020er Jahren wirtschaftlich ist.
Von Frank Wunderlich-Pfeiffer

Energiespeicher: Große Druckluftspeicher locken Investorengelder an
Artikel
  1. Ransomware: Jeder hat Daten, die eine Erpressung wert sind
    Ransomware
    Jeder hat Daten, die eine Erpressung wert sind

    Unbenutzbare Systeme, verlorene Daten und Schaden in Millionenhöhe: Wie ich einen Emotet-Angriff erlebt habe.
    Ein Erfahrungsbericht von Lutz Olav Däumling

  2. Star Trek: Neuigkeiten zu Discovery, Picard und weiteren Serien
    Star Trek
    Neuigkeiten zu Discovery, Picard und weiteren Serien

    Die zweite Hälfte von Star Trek: Discovery kommt ab Februar auf Pluto TV. Außerdem gibt es Termine für weitere Star-Trek-Serien.

  3. AMD Radeon RX 6500 XT startet heute den Verkauf
     
    AMD Radeon RX 6500 XT startet heute den Verkauf

    Der erste Launch einer Grafikkarte in diesem Jahr steht heute an: mit der Radeon RX 6500 XT schickt AMD seine günstigste neue Karte ins Rennen.
    Ausgewählte Angebote des E-Commerce-Teams

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • LG OLED 55" 120Hz 999€ • MindStar (u.a. NZXT WaKü 129€, GTX 1660 499€) • Seagate Firecuda 530 1TB inkl. Kühlkörper + 20€ PSN-Guthaben 189,90€ • Sony Pulse 3D Wireless PS5 Headset 79,99€ • Samsung 16GB DDR5-4800 199€ • Huawei MateBook 16,1" 16GB 512GB SSD 709€ [Werbung]
    •  /