nicht angemeldet
Sicherheitsbug: Apache bis 1.3.24 unter Win32!
Hi,
Gestern wurde in der Security-Liste BugTRAQ ueber ein neu
gefundenen Sicherheitsbug berichtet, der den Apache-Webserver
auf Plattformen mit Win32 betrifft.
Alle betreiber von Apache-Webservern unter Windows sind daher
aufgefordert entsprechende Sicherungsmassnahmen einzuleiten.
Ob auch weitere Plattformen betroffen sind, ist derzeit nicht bekannt.
Eine Bestaetigung seitens Apache liegt nur fuer Windows vor.
Genauere Informationen finden sich hier:
http://httpd.apache.org/info/security_bulletin_20020617.txt
Ciao,
Wolfgang
P.S.: Bei Mickisoft waere dieser Bug erstmal 4 Wochen ignoriert werden und dann nach 2 Jahren gepatched :)
Bei Apache gibt es den Patch schon.
-
Tag Wolfgang,
Gestern wurde in der Security-Liste BugTRAQ ueber ein neu
gefundenen Sicherheitsbug berichtet, der den Apache-Webserver
auf Plattformen mit Win32 betrifft.Und zwar nicht nur, wie dein Titel vermuten laesst, bis 1.3.24,
sondern auch die Zweier-Serie. Und die Apache Group meint dazu,
dass nicht bekannt sei, wie sich die Bugs auf den einzelnen
Plattformen auswirken; es gibt allerdings zwei Moeglichkeiten:
entweder als Remote-Exploit oder als DoS-Luecke.Gruesse,
CK -
Hallo Wolfgang,
Ob auch weitere Plattformen betroffen sind, ist derzeit nicht
bekannt.
Eine Bestaetigung seitens Apache liegt nur fuer Windows vor.das lese ich aber anders:
In Apache 1.3 the issue causes a stack overflow.
Due to the nature of the overflow on 32-bit Unix platforms this
will cause a segmentation violation and the child will terminate.
However on 64-bit platforms the overflow can be controlled and so
for platforms that store return addresses on the stack it is likely
that it is further exploitable. This could allow arbitrary code to
be run on the server as the user the Apache children are set to run
as.
We have been made aware that Apache 1.3 on Windows is exploitable
in a similar way as well.
Für mich klingt das so, als ob sämtliche UNIX-Maschinen ebenfalls
damit angegriffen werden können.Hoffentlich ist die 1.3.26 nicht so löcherig wie die 1.3.24, die ich
wegen defektem mod_proxy gar nicht einsetzen konnte ...(http://httpd.apache.org/info/security_bulletin_20020617.txt)
Viele Grüße
<img src="http://www.schroepl.net/projekte/gzip_cnc/gzip_cnc.gif" border=0 alt=""> Michael