Optionsbleed: Kritische Sicherheitslücke bei Apache-Webservern

Eine Optionsbleed genannte Sicherheitslücke erlaubt es Angreifern bei bestimmten Konfigurationen Speicherfragmente eines Webservers aus­zu­lesen. Da Apache besonders gerne bei Shared-Hosting-Anbietern eingesetzt wird, sind darüber wahrscheinlich tausende von Webseiten angreifbar. Verantwortlich für die Sicherheitslücke ist ein Bug bei der so genannten "OPTIONS"-Me­tho­de, die eigentlich nur für Debugging-Zwecke benutzt wird, und aus Sicherheitsgründen im laufenden Betrieb deaktiviert werden sollte. Angreifer können damit an den Server An­fra­gen schicken, auf die dieser zufällige Speicherfragmente zurücksendet. Mit etwas Glück und wiederholtes Probieren können Hacker dadurch etwa Passwörter, Konfigurations-Dateien und andere Codeschnipsel abfangen, mit denen der Webserver gezielt attackiert wer­den kann.

Konfigurationsdatei als Ursache

Der Entdecker der Sicherheitslücke, Hanno Böck, hat bereits eine Reihe von Servern ent­deckt, bei der die Options-Anfrage zu Serverantworten führte, in denen Binärdateien, Bruchstücke von HTML-Code oder Fragmente aus Konfigurationsdateien mitgeschickt wur­den. Er kontaktierte daraufhin das Apache-Sicherheitsteam, welches das Thema genauer untersuchte.

Wie die Apache-Techniker herausfanden, tritt der Optionsbleed-Bug nur bei bestimmten Konfigurationen auf, die über die .htaccess-Datei zur Serversteuerung mit der Limit-Direktive bestimmte Methoden des HTTP-Protokolls einschränken. Sind diese dem Server unbekannt, entsteht eine Memory-Corruption und der Server füllt den Antwortstring mit Da­ten­fragmenten aus dem Speicher.

Shared-Hosting-Provider als Multiplikator

Der Entdecker des Optionsbleed konnte in der Alexa-Liste der Top-1-Millionen-Liste der populärsten Webseiten bereits einige hundert Server aufspüren, die von der Lücke betroffen sind. Besteht das Problem bei einem Anbieter von Shared-Hosting-Umgebungen sind von einem einzigen Server eventuell mehrere hunderte Webseiten von der Lücke betroffen.

Apache hat bereits einen Patch für Optionsbleed entwickelt. Bei regelmäßig aktualisierten Servern dürfte diese also bereits bald geschlossen sein. Kunden von Shared-Hosting-An­bie­tern können sich gezielt durch Nachfrage bei Ihrem Provider erkundigen, ob deren Server sicher sind. Durch das Bekanntwerden von Optionsbleed dürften automatische Bot-Netze sicher bald auf die Suche nach betroffenen Systemen gehen, um gezielt Webserver zu attackieren. Veraltete Apache-Installationen werden damit möglicherweise zum Si­cher­heits­ri­si­ko.

XAMPP - Softwarepaket für Webserver DOWNLOAD