Menü

Apache 2.0.50 beseitigt Sicherheitslöcher

vorlesen Drucken Kommentare lesen 96 Beiträge

Die Apache Foundation hat die Version 2.0.50 des Webservers freigegeben, die zwei Sicherheitslücken stopft. Ein von Georgi Guninski entdeckter Fehler trat bei der Verarbeitung von überlangen Headern auf, wenn diese mit einem TAB oder einem SPACE beginnen. Dadurch konnten Angreifer beliebigen Speicher belegen, laut Guninski wäre auf 64-Bit-Plattformen mit mehr als vier Gigabyte Speicher auch ein Heap Overflow möglich gewesen. Der zweite Fehler, ebenfalls von Guninski gefunden steckte in mod_ssl. Die Funktion ssl_util_uuencode_binary() prüfte einen Puffer nicht ausreichend, sodass ein überlanges Subject-Feld (Distinguished Name, DN) in einem SSL-Zertifikat den Stack überschreiben konnte.

Siehe dazu auch: (pab)