2016-1162: Apache Software Foundation HTTP-Server: Zwei Schwachstellen ermöglichen u.a. das Ausspähen von Informationen

Historie:

Version 1 (2016-07-19 15:56)

Neues Advisory

Betroffene Software

Server

Betroffene Plattformen

Beschreibung:

Ein entfernter, nicht authentifizierter Angreifer kann ohne gültiges Zertifikat Zugriff auf eigentlich sichere Ressourcen des Apache HTTP-Servers erhalten, falls das Modul 'mod_http2' geladen und eines der Schemata h2 (HTTP/2 over TLS) oder h2c (HTTP/2 over TCP) aktiviert ist. Dafür muss der Browser des Angreifers darüber hinaus das HTTP/2-Protokoll verwenden und mehr als eine Anfrage über eine einzelne Verbindung durchführen.

Außerdem kann der Angreifer das zu RFC 3875 Sektion 4.1.18 konforme und somit eigentlich korrekte Verhalten im Apache HTTP-Server (httpd, mod_fcgid) bis Version 2.4.23 ausnutzen, um mit einem präparierten Proxy-Header in einem HTTP-Request den ausgehenden HTTP-Verkehr einer Anwendung auf einen beliebigen, schädlichen Proxy-Server umzuleiten ("httpoxy"-Problem). Durch Ausnutzen dieser Schwachstellen kann der Angreifer Sicherheitsvorkehrungen umgehen und in der Folge Informationen ausspähen.

Die Apache Software Foundation informiert über die erstgenannte Schwachstelle im Apache HTTP-Server in den Versionen 2.4.18 bis 2.4.20 und stellt mit der Version 2.4.23 ein Sicherheitsupdate zur Behebung der aktiv ausgenutzten Schwachstelle bereit. Die CVE-2016-5387 wurde für Maßnahmen zur Mitigation der zweiten Schwachstelle vergeben.

Für Red Hat Software Collections 1 for RHEL 6 / RHEL 7 stehen Sicherheitsupdates in Form aktualisierter Pakete von 'httpd24-httpd' bereit.

Schwachstellen:

CVE-2016-4979

Schwachstelle in Apache HTTP-Server ermöglicht Ausspähen von Informationen

CVE-2016-5387

Schwachstelle in Apache HTTP-Server (httpd) ermöglicht Umgehen von Sicherheitsvorkehrungen

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.