News-Meldung vom 17.01.2008 14:54
Mehrere Module für den Webserver Apache weisen Cross-Site-Scripting-Schwachstellen auf, durch die ein Angreifer JavaScript im Browser eines Opfers ausführen kann. Ursache der Probleme ist die ungenügende Filterung übergebener Parameter respektive aufgerufener URLs. Betroffen sind Apache 1.3.x, 2.0.x und 2.2.x. Zu den fehlerhaften Modulen gehören mod_status, mod_proxy_ftp, mod_proxy_balancer, mod_autoindex (nur Apache 1.3.x) und mod_imagemap. So lässt sich beispielsweise bei mod_status durch Einfügen eines Semikolons eine zusätzliche URL einschleusen. Prinzipiell ließe sich dieser Fehler auch für Redirects auf Phishing-Seiten ausnutzen.
Die Schwachstellen sind in den Versionen Apache 2.2.7-dev, Apache 1.3.40-dev und Apache 2.0.62-dev beseitigt. Linux-Distributoren wie Red Hat und Mandriva haben bereits fehlerbereinigte Versionen der Module veröffentlicht.
Siehe dazu auch:
(dab)
English Version: Cross-site scripting vulnerabilities in multiple Apache modules
Version zum Drucken | Per E-Mail versenden
Permalink: http://heise.de/-179625
Themen-Forum Schwachstellen