Apache: Kritische 0-Day-Lücke wurde geschlossen

Die Entwickler des Apache-Webservers haben eine in der letzten Woche bekannt gewordene Sicherheitslücke geschlossen. Allen Nutzern dieses Webservers wird empfohlen, das Update zeitnah einzuspielen. Mit Apache in der Version 2.2.20 wird eine als kritisch eingestufte Schwachstelle aus der Welt geschafft. Allerdings kann man das zugrundliegende Problem nicht vollständig durch die Installation dieses Updates lösen. Immerhin bietet das Protokoll HTTP 1.1 eine entsprechende Angriffsfläche.

Zum Umfang des Updatepakets gehört überdies die APR Utility Library 1.3.12 und die Apache Portable Runtime 1.4.5, welche laut den Entwicklern ebenfalls eingespielt werden müssen. Mit der neuen Version haben die Entwickler dafür gesorgt, dass der Webserver im Umgang mit Byte-Range-Requests deutlich weniger Speicher beansprucht.

Der Entdecker dieser Problematik hat sich in der letzten Woche mit dem Proof-of-Concept "Apache Killer" im Zusammenhang mit der angesprochenen DOS-Schwachstelle (Denial of Service) über eine Mailingliste zu Wort gemeldet. Mit einem Script kann ein Angreifer auf einfache Weise dafür sorgen, dass der Apache-Webserver abstürzt, sofern es sich um eine anfällige Version handelt.