Sie sind hier: Home » Aktuelle Meldungen » Meldung
Meldung Nr: RUS-CERT-984

[Generic/Apache 1.3] DoS vom Webserver-Account auf das Gesamtsystem
(2002-10-07 09:06:59.840135+00) Druckversion

Quelle: http://marc.theaimsgroup.com/?l=apache-httpd-announce&m=103367938230488&w=2

Eine Schwachstelle in Apache ermöglicht es lokalen Benutzern, die Programmcode mit den Rechten des Webserver-Benutzers ausführen können, nahezu beliebige Prozesse auf dem System zu beenden.

Betroffene Systeme

  • Systeme, die Apache 1.3 vor Version 1.3.27 verwenden.

Einfallstor
Der Angreifer muß in der Lage sein, nahezu beliebigen Programmcode unter der User-ID des Webserver-Prozesses auszuführen (z.B. über mod_perl oder PHP). Diese Schwachstelle ist daher hauptsächlich in (halbherzig gesicherten) Hosting-Umgebungen von Bedeutung.

Auswirkung
Der Angreifer kann das Signal SIGUSR1 an einen beliebigen Prozess schicken und dadurch häufig den Prozeß beenden.

Typ der Verwundbarkeit
Denial of Service (DoS)

Gefahrenpotential
mittel
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Auf bestimmten Systemen verwendet der Apache-Webserver System V Shared Memory zur internen Kommunikation. Zu diesen Systemen gehören:

  • GNU/Linux
  • HP-UX
  • HP MPE
  • SGI IRIX
  • Hitachi HI/UX
  • Apple AUX
  • SCO UnixWare
  • weitere SRV4-Systeme (nicht jedoch Sun Solaris)

Auf derartigen Systemen kann ein Benutzer, der Zugriff auf das verwendete Shared-Memory-Segment hat (z.B. weil er über mod_perl oder PHP beliebigen Programmcode unter der User-ID, unter der auch der Webserver läuft, ausführen kann), das Signal SIGUSR1 an beliebige Prozesse senden. Da das SIGUSR1-Signal auf vielen Systemen in der Voreinstellung dazu führt, daß der empfangende Prozeß beendet wird, kann ein böswilliger Benutzer den Betrieb empfindlich stören.

Gegenmaßnahmen

Vulnerability ID

Weitere Information zu diesem Thema

(fw)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2017 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/

Vorherige Meldung Weitere Meldungen... Nächste Meldung

Bitte lesen Sie auch die Grundsätze, nach denen das RUS-CERT Tickermeldungen veröffentlicht. Der regelmäßige Bezug von Tickermeldungen über E-Mail und RSS-Feed ist ebenfalls möglich.