Webserver: Gefährliche Lücke in Apache 2.x
Im Webserver Apache 2.x ist eine Sicherheitslücke, die aus der Ferne ausgenutzt werden kann - auch ohne Authentifizierung.
Der Webserver Apache ist von der Ferne aus angreifbar. Von der Sicherheitslücke betroffen sind laut der Zero Day Initiative sämtliche Versionen von Apache 2.x. Darüber lassen sich unter Umständen Anmeldeinformationen auslesen. Außerdem könnte die Lücke dazu genutzt werden, um Code auf einem verwundbaren Apache-Server auszuführen. Die Lücke lässt sich aus der Ferne und ohne Zugangsberechtigung ausnutzen.
Der Fehler ist im Modul mod_status. Beim Aktualisieren eines Status kann eine Wettlaufsituation (Race Condition) entstehen, die durch mehrfache Anfragen mit dem Handler server-status ausgelöst werden kann. Das Modul, das unter anderem Statistiken zu einem Webserver sammelt und anzeigt, ist allerdings nicht immer standardmäßig aktiviert. Außerdem lässt sich der externe Zugriff auf das Modul deaktivieren, falls es nicht abgeschaltet werden soll:
<Location /server-status>
SetHandler server-status
Order Deny,Allow
Deny from all
Allow from 127.0.0.1
</Location>
Der Fehler wurde dem Apache-Team bereits Ende Mai 2014 gemeldet. Inzwischen liegen für Apache 2.2 und 2.4 Patches bereit, die im Upstream-Quellcode bereits eingepflegt sind. Entsprechende Updates dürften in den nächsten Stunden in den Software-Repositories der diversen Distributionen bereitgestellt werden.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
- ohne Werbung
- mit ausgeschaltetem Javascript
- mit RSS-Volltext-Feed
http://www.heise.de/newsticker/meldung/Fuenf-Luecken-im-Apache-Webserver-geschlossen...
ich wollte damit nur darauf hinweisen das die vorgeschlagene lösung im thema eigentlich...
Und du glaubst, dass man so einem Tool vertrauen kann? Apache ist der Webserver der mit...
ea gilt ja zu unterscheiden zwischen einbruch root... oder da der server eh nur...