RUS-CERT-983 – Archivierte Meldung

Meldung Nr: RUS-CERT-983

[Generic/Apache] Schwachstelle im Benchmark-Programm
(2002-10-06 19:09:36.501043+00)

Quelle: http://marc.theaimsgroup.com/?l=apache-httpd-announce&m=103367938230488&w=2

Im Benchmark-Programm ab, das mit Apache ausgeliefert wird, ist eine Pufferüberlauffehler entdeckt worden.

Betroffene Systeme

Systeme, die das Programm ab aus Apache 1.3.26 und früheren Versionen verwenden.
Apache 2 enthält ebenfalls eine Verwundbare Version des ab-Programms.

Einfallstor
HTTP-Server-Antworten

Auswirkung
Ein Angreifer, der Kontrolle über einen Server hat, dessen Performance mit ab ausgeführt wird, kann wahrscheinlich beliebigen Programmcode mit den Rechten des ab-Prozesses ausführen.

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential
hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Im Benchmark-Programm ab, daß mit Apache ausgeliefert wird, ist ein Pufferüberlauf bei der Verarbeitung des vom Server gelieferten "Server:"-Headers enthalten. Ein böswilliger Server-Betreiber kann so wahrscheinlich Programmcode mit den Rechten des Nutzers ausführen, der ab gestartet hat, um eine Performance-Messung des manipulierten Server vorzunehmen.

(Diese Schwachstelle betrifft lediglich das Benchmark-Programm, nicht die Server-Software selbst.)

Workaround
Da ab eine erhebliche Belastung für einen Webserver darstellen kann, sollte dieses Programm grundsätzlich nur vom Administrator für den eigenen Webserver aufgerufen werden. Dadurch muß der Angreifer schon den Netzverkehr manipulieren, um Erfolg zu haben.

Gegenmaßnahmen

Upgrade auf Apache 1.3.27.

Die Version von ab in Apache 2 scheint ebenfalls verwundbar zu sein; offenbar existiert allerdings noch keine korrigierte Version im Apache-2-Quelltext.

Vulnerability ID

CAN-2002-0843

Weitere Information zu diesem Thema

OpenPKG Security Advisory OpenPKG-SA-2002.009 (BUGTRAQ)
Security issues force release of 1.3.27, 2.0.43 (ApacheWeek)
Ergebnisse von David Wagners Untersuchungen (BUGTRAQ)

(fw)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

https://cert.uni-stuttgart.de/ticker/article.php?mid=983