Apache HTTP Server: Sicherheitslücke CVE-2023-25690 nach PoC geschlossen
von Tina Siering
Sicherheitslücke CVE-2023-25690 nach PoC behoben
Die Apache Foundation gab Anfang März 2023 bekannt, dass die Sicherheitslücke CVE-2023-25690 in Apache HTTP Server 2.4.56 behoben ist. Die implementierte Korrektur verhindert, dass Steuerzeichen in eine Proxy-Anfrage aufgenommen werden. Diese Schwachstelle wies einen CVSS-Wert von 9,8 auf, da sie das Potenzial hatte, Zugriffskontrollen zu umgehen. Bevor ein Sicherheitsforscher am 21. Mai 2023 einen Proof of Concept (PoC) veröffentlichte, schien das Problem weitgehend unbemerkt zu bleiben.
Problem:
Bestimmte Konfigurationen von mod_proxy in den Apache HTTP Server Versionen 2.4.0 bis 2.4.55 können für einen "HTTP Request Smuggling"-Angriff ausgenutzt werden.
Wie ein “HTTP Request Smuggling”-Angriff funktioniert
HTTP Request Smuggling ist eine ausgeklügelte Angriffsmethode, die Inkonsistenzen bei der Verarbeitung von HTTP-Anfragen durch verschiedene Web-Infrastrukturkomponenten ausnutzt. Angreifer nutzen diese Technik, um die Interpretation von Anfragen zu manipulieren, Sicherheitsmaßnahmen zu umgehen, Payloads unbemerkt einzuschleusen und zum potenziellen Zugriff auf sensible Daten oder sogar zur Remote-Befehlsausführung.
Diese Schwachstelle tritt auf, wenn mod_proxy zusammen mit RewriteRule oder ProxyPassMatch aktiviert ist, wobei ein unspezifisches Muster mit einem Teil der vom Benutzer angegebenen Request-Zieldaten (URL) übereinstimmt und dann mittels Variablensubstitution in das Proxy-Request-Ziel eingefügt wird.
Der “Proof of Concept” zeigte, wie diese Schwachstelle im Apache HTTP Server für Header-Injection- und Request-Smuggling-Angriffe gegen eine anfällige Anwendung ausgenutzt werden kann. Um von dieser Sicherheitslücke betroffen zu sein, müssen jedoch mehrere Bedingungen erfüllt sein:
- Die Konfiguration des Apache-Servers muss eine RewriteRule enthalten, die Daten in den Query-String einer Proxy-URL kopiert.
(Mögliches Szenario: RewriteEngine ein RewriteRule "^/here/(.*)" "http://example.com:8080/elsewhere?param=$1"; [P]. Als Folge davon kann es zu Request-Splitting oder Smuggling kommen, was zur Umgehung von Zugriffskontrollen auf dem Proxy-Server, zur unbeabsichtigten Weiterleitung von URLs an bestehende Quellserver und zu Cache Poisoning führen kann.) - Die Anwendung muss den Proxy als signifikante Sicherheitsgrenze betrachten.
- Die Anwendung muss eine anfällige Version des Apache HTTP Servers (2.4.55 oder früher) verwenden.
Datenfluss bei PoC Attacke / Quelle: GitHub
Handlungsempfehlung
Nutzern wird empfohlen, auf Version 2.4.56 (oder höher) von Apache HTTP Server zu aktualisieren.
Weiterführende Informationen: https://nvd.nist.gov/vuln/detail/CVE-2023-25690
Brauchen Sie Unterstützung, um Ihre IT Security für 2023 aufzurüsten? Kontaktieren Sie uns!
Zum Thema passende Artikel
Damit Ihre Geschäftsprozesse reibungslos ablaufen können, müssen Ihre digitalen Unternehmensdaten jederzeit verfügbar sein. Schnell kann es jedoch passieren, dass Ihre Daten in die Hände von Hackern gelangen oder von Mitarbeitern versehentlich gelöscht werden. Damit Sie in solchen Fällen keine langen Ausfallzeiten und Umsatzverluste fürchten müssen, sollten Sie jederzeit eine lückenlose Sicherungskopie in der Hinterhand haben, mit der Sie Ihren Datenbestand schnell wiederherstellen können. Wir verraten Ihnen, mit welchen Backup-Methoden und Speichermedien Sie für den Ernstfall gerüstet sind.
Weiterlesen … Zuverlässige Backups: So gelingt die lückenlose Datensicherung
1972 wagte ein kanadischer IT-Berater namens Ian Sharp eine Prognose, die als eine der größten Fehleinschätzungen der Computertechnologie eingehen sollte. Herr Sharp war damals felsenfest überzeugt, dass die „E-Mail ein total unverkäufliches Produkt“ sei. Heute, 50 Jahre später, ist die elektronische Post zum wichtigsten digitalen Kommunikationsmittel überhaupt geworden. Mehr als 200 Milliarden E-Mails werden 2022 verschickt – und das pro Tag. Doch nicht nur für die Kommunikation zwischen Privatpersonen oder Unternehmen ist die E-Mail unverzichtbar geworden, auch als Marketinginstrument wird die Mail gerne und häufig eingesetzt. Rund zwei Milliarden Euro investiert die deutsche Wirtschaft jährlich in E-Mail-Werbung. Trotz oder gerade wegen der langen Geschichte ranken sich um die E-Mail immer noch Sicherheits-Mythen. Die fünf größten Sicherheits-Irrtümer im Umgang mit E-Mails haben wir in diesem Beitrag für Sie kompakt zusammengefasst. Es überrascht dabei nicht, dass die E-Mail nach wie vor eines der Haupteinfallstore für Cyber-Angriffe auf Unternehmen darstellt.
Weiterlesen … E-Mails: Die fünf größten Sicherheits-Irrtümer
Aufgrund des Krieges in der Ukraine gibt secion eine Einschätzung der Bedrohungslage für Unternehmen ab und beleuchtet die Frage, ob verstärkt russische Angriffe auf Unternehmen in Deutschland, Österreich sowie der Schweiz zu erkennen sind. Es liegen dabei derzeit keine Erkenntnisse über eine akut gesteigerte Gefährdung durch staatliche russische Akteure in Westeuropa vor, jedoch eine erhöhte Aufmerksamkeit in der Öffentlichkeit, mit der diese Cyberattacken aktuell wahrgenommen werden. Zudem sorgen „Dritt-Akteure“ für eine neue Dynamik.