11.09.2007 16:02
Alert! Update behebt kritische Lücke in Webserver lighttpd
Ein Buffer Overflow im mod_fastcgi-Modul des schlanken Open-Source-Webservers lighttpd gefährdet in Zusammenhang mit PHP die Sicherheit von Installationen. Angreifer können durch das Senden manipulierter Header an den Server eigenen Code einschleusen und mit den Rechten von lighttpd ausführen. Ursache des Problems ist die fehlende Prüfung der Länge des FastCGI-Headers beim Einlesen der empfangenen Header und der anschließenden Übergabe an PHP. Betroffen sind alle Versionen bis einschließlich 1.4.17. In Version 1.4.18 ist der Fehler behoben. Ein Patch steht ebenfalls zum Download bereit.
Die Entdecker der Lücke, der Sicherheitsdienstleister SecWeb, weist aber darauf hin, dass seit Version 1.4.17 im Header keine Zeichen unter einem Wert von 0x20 enthalten sind, was das Entwickeln eines Exploits erschwere, aber nicht unmöglich mache. SecWeb will einen funktionierenden Exploit entwickelt haben, ihn aufgrund des Risikos jedoch nicht veröffentlichen. Stattdessen veröffentlicht der Dienstleister nur einen Exploit für die älteren Versionen bis 1.4.16 und PHP 5.2.x.
Lighttpd, auch lighty genannt, ist ein ressourcenschonender, schneller Webserver, der sich wie der Apache durch Module erweitern lässt. Lighttpd unterstützt durch CGI beziehungsweise FastCGI beliebige Skriptsprachen und eignet sich aufgrund der geringen CPU- und Speicherbelastung gut für Embedded-Systeme. Unter anderem setzen YouTube, SourceForge und Wikipedia auf teilweise selbst angepasste Versionen von lighty.
Siehe dazu auch:
- FastCGI header overrun in mod_fastcgi, Fehlermeldung von
- Lighttpd FastCGI Remote Vulnerability, Fehlerbericht von SecWeb
(dab)
Unsere Entdeckung, dass via Skype verschickte URLs von Microsoft besucht werden, hat für einigen Aufruhr gesorgt. Mittlerweile liegen etwas mehr Informationen dazu auf dem Tisch. 
Die aktuelle BKA-Trojaner sperrt nicht nur den Rechner, sondern legt auch Bilder mit Kinderpornografie auf dem System ab. Mit Desinfec't kann man diesen Unrat aufspüren und beseitigen. 
Der Krypto-Experte Karsten Nohl kritisiert die Absenkung des Schutzniveaus für Steuer-, Sozial- und Gerichtsdaten im Rahmen der gesetzlichen Anpassungen für De-Mail. 
Wer verhindern will, dass Nutzer auf fremde Kalender zugreifen oder eigenen PHP-Code in den Server einschleusen, sollte baldmöglichst auf eine der aktuellen Versionen umsteigen. 
Die Mozilla-Entwickler haben zahlreiche Sicherheitslöcher in Firefox und Thunderbird gestopft. Durch eine kann ein Angreifer, der bereits einen Fuß in der Tür hat, an Systemrechte gelangen. 
