RUS-CERT-863 – Archivierte Meldung

Meldung Nr: RUS-CERT-863

[Generic/mod_ssl] Pufferüberlauf in der .htaccess-Verarbeitung
(2002-06-29 14:36:03.321892+00)

Quelle: http://cert.uni-stuttgart.de/archive/bugtraq/2002/06/msg00338.html

Aufgrund eines Fehlers in der Verarbeitung von .htacces-Dateien durch mod_ssl können Angreifer, die .htacces-Dateien verändern kónnen, beliebigen Code auf dem Webserver ausführen.

Betroffene Systeme

Systeme, die Apache mit mod_ssl vor Version 2.8.10 verwenden.

Einfallstor
spezielle gestaltete .htaccess-Datei

Auswirkung
Ein Benutzer, der in der Lage ist, .htaccess-Dateien auf dem Server zu verändern, die auch tatsächlich von Apache interpretiert werden, kann beliebigen Code mit den Rechten des httpd-Kindprozesses ausführen (häufig sind dies die Rechte des Accounts "nobody" oder "www-data").

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential
mittel bis hoch in bestimmten Hosting-Umgebungen
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Bei der Verarbeitung von .htaccess-Dateien durch mod_ssl kann es zu einem Pufferüberlauf kommen. Um diese Schwachstelle auszunutzen, muß ein Angreifer eine .htaccess-Datei ändern, die auch tatsächlich von Apache interpretiert wird. Folgende Voraussetzungen müssen daher erfüllt sein:

Der Angreifer muß die Möglichkeit besitzen, die Datei auf dem Server zu verändern. Dazu wird nicht unbedingt ein Benutzeraccount bzw. FTP-Zugang zum Webserver benötigt, falls der Webserver falsch konfiguriert ist: Eventuell reicht es auch aus, die Datei per anonymous FTP in ein durch den Webserver exportiertes Incoming-Verzeichnis zu stellen, oder ein automatischer Spiegel überträgt die Datei von einem anderen Server.
Die Datei muß in einem Verzeichnis gespeichert sein, für das keine "AllowOverride None"-Direktive greift. ("AllowOverride None" für alle Verzeichnisse ist die Voreinstellung.)

Ein erfolgreicher Angriff ermöglicht dem Angreifer, beliebigen Programmcode mit den Rechten der httpd-Kindprozesse auszuführen. Dadurch kann beispielsweise der Webserver effektiv gestoppt werden (Denial of Service, DoS), oder es können die vom Server gelieferten Daten manipuliert werden.

Gegenmaßnahmen
Beide der folgenden Gegenmaßnahmen sollten durchgeführt werden.

Setzen von "AllowOverride None" für Verzeichnisse, auf die nicht authentifizierte Benutzer Schreibzugriff besitzen (FTP-Incoming-Verzeichnisse, Spiegel von anderen Servern usw.).
Aktualisierung auf mod_ssl 2.8.10.

(fw)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

https://cert.uni-stuttgart.de/ticker/article.php?mid=863