Eine Schwachstelle in Apache ermöglicht es lokalen Benutzern, die Programmcode mit den Rechten des Webserver-Benutzers ausführen können, nahezu beliebige Prozesse auf dem System zu beenden.

Betroffene Systeme

• Systeme, die Apache 1.3 vor Version 1.3.27 verwenden.

Einfallstor
Der Angreifer muß in der Lage sein, nahezu beliebigen Programmcode unter der User-ID des Webserver-Prozesses auszuführen (z.B. über mod_perl oder PHP). Diese Schwachstelle ist daher hauptsächlich in (halbherzig gesicherten) Hosting-Umgebungen von Bedeutung.

Auswirkung
Der Angreifer kann das Signal SIGUSR1 an einen beliebigen Prozess schicken und dadurch häufig den Prozeß beenden.

Typ der Verwundbarkeit
Denial of Service (DoS)

Gefahrenpotential
mittel
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Auf bestimmten Systemen verwendet der Apache-Webserver System V Shared Memory zur internen Kommunikation. Zu diesen Systemen gehören:

• GNU/Linux
• HP-UX
• HP MPE
• SGI IRIX
• Hitachi HI/UX
• Apple AUX
• SCO UnixWare
• weitere SRV4-Systeme (nicht jedoch Sun Solaris)

Auf derartigen Systemen kann ein Benutzer, der Zugriff auf das verwendete Shared-Memory-Segment hat (z.B. weil er über mod_perl oder PHP beliebigen Programmcode unter der User-ID, unter der auch der Webserver läuft, ausführen kann), das Signal SIGUSR1 an beliebige Prozesse senden. Da das SIGUSR1-Signal auf vielen Systemen in der Voreinstellung dazu führt, daß der empfangende Prozeß beendet wird, kann ein böswilliger Benutzer den Betrieb empfindlich stören.

Gegenmaßnahmen

• Upgrade auf Apache 1.3.27.

Vulnerability ID

• CAN-2002-0839

Weitere Information zu diesem Thema

• OpenPKG Security Advisory OpenPKG-SA-2002.009 (BUGTRAQ)
• Security issues force release of 1.3.27, 2.0.43 (ApacheWeek)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/