Sicherheitsbug: Apache bis 1.3.24 unter Win32!
Der folgende Beitrag wurde am 18. 06. 2002, 12:24 Uhr von xwolf veröffentlicht.
Hi,
Gestern wurde in der Security-Liste BugTRAQ ueber ein neu
gefundenen Sicherheitsbug berichtet, der den Apache-Webserver
auf Plattformen mit Win32 betrifft.
Alle betreiber von Apache-Webservern unter Windows sind daher
aufgefordert entsprechende Sicherungsmassnahmen einzuleiten.
Ob auch weitere Plattformen betroffen sind, ist derzeit nicht bekannt.
Eine Bestaetigung seitens Apache liegt nur fuer Windows vor.
Genauere Informationen finden sich hier:
http://httpd.apache.org/info/security_bulletin_20020617.txt
Ciao,
Wolfgang
P.S.: Bei Mickisoft waere dieser Bug erstmal 4 Wochen ignoriert werden und dann nach 2 Jahren gepatched :)
Bei Apache gibt es den Patch schon.
Sicherheitsbug: Apache bis 1.3.24 und 2.0.36-dev!
Der folgende Beitrag wurde am 18. 06. 2002, 12:29 Uhr von Christian Kruse veröffentlicht.
Tag Wolfgang,
> Gestern wurde in der Security-Liste BugTRAQ ueber ein neu
> gefundenen Sicherheitsbug berichtet, der den Apache-Webserver
> auf Plattformen mit Win32 betrifft.
Und zwar nicht nur, wie dein Titel vermuten laesst, bis 1.3.24,
sondern auch die Zweier-Serie. Und die Apache Group meint dazu,
dass nicht bekannt sei, wie sich die Bugs auf den einzelnen
Plattformen auswirken; es gibt allerdings zwei Moeglichkeiten:
entweder als Remote-Exploit oder als DoS-Luecke.
Gruesse,
CK
Sicherheitsbug: Apache bis 1.3.24 unter Win32!
Der folgende Beitrag wurde am 19. 06. 2002, 02:31 Uhr von Michael Schröpl veröffentlicht.
Hallo Wolfgang,
> Ob auch weitere Plattformen betroffen sind, ist derzeit nicht
> bekannt.
> Eine Bestaetigung seitens Apache liegt nur fuer Windows vor.
das lese ich aber anders:
# In Apache 1.3 the issue causes a stack overflow.
# Due to the nature of the overflow on 32-bit Unix platforms this
# will cause a segmentation violation and the child will terminate.
# However on 64-bit platforms the overflow can be controlled and so
# for platforms that store return addresses on the stack it is likely
# that it is further exploitable. This could allow arbitrary code to
# be run on the server as the user the Apache children are set to run
# as.
# We have been made aware that Apache 1.3 on Windows is exploitable
# in a similar way as well.
Für mich klingt das so, als ob sämtliche UNIX-Maschinen ebenfalls
damit angegriffen werden können.
Hoffentlich ist die 1.3.26 nicht so löcherig wie die 1.3.24, die ich
wegen defektem mod_proxy gar nicht einsetzen konnte ...
(http://httpd.apache.org/info/security_bulletin_20020617.txt)
Viele Grüße
Michael