Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Apache Software Foundation Apache HTTP Server

Betroffene Plattformen:

Canonical Ubuntu Linux 12.04 Lts
Canonical Ubuntu Linux 14.04 Lts
Canonical Ubuntu Linux 15.04

Zwei Schwachstellen ermöglichen einem entfernten, nicht authentisierten
Angreifer das Umgehen von Sicherheitsvorkehrungen.
Canonical stellt für die Distributionen Ubuntu 15.04, Ubuntu 14.04 LTS und
Ubuntu 12.04 LTS Sicherheitsupdates zur Verfügung. Ubuntu 12.04 LTS ist von
der Schwachstelle CVE-2015-3185 nicht betroffen.

Patch:

Ubuntu Security Notice USN-2686-1

http://www.ubuntu.com/usn/usn-2686-1/

CVE-2015-3185: Eine Schwachstelle im HTTP-Server ermöglicht das Umgehen von
Sicherheitsmaßnahmen

Ein Designfehler führt dazu, dass die API Anfragen durchlässt, die
eigentlich keine Berechtigung in der Konfiguration haben. Die Dokumentation
sagt aus, dass die API antworten muss, wenn die erforderlichen
“Require”-Zeilen in der Konfigurationsdatei vorhanden sind. Seit der Version
2.4.x werden sie außerdem für die Autorisierung in der Konfigurationsdatei
genutzt, selbst dann, wenn keine Authentisierung notwendig ist. Das könnte
dazu führen, dass Module, die diese API integriert haben, Zugang gewähren,
obwohl sie es eigentlich nicht sollten. Ein entfernter, nicht
authentisierter Angreifer kann Sicherheitsvorkehrungen umgehen.

CVE-2015-3183: Schwachstelle im HTTP-Server ermöglicht das Umgehen von
Sicherheitsvorkehrungen

In modules/http/http_filters.c. besteht ein Fehler im Parser von
Chunk-Headern bei aufgeteilten Anfragen in “Chunks”, der in Verbindung mit
großen Chunk-Größenwerten und ungültigen Zeichen in Chunk-Erweiterungen
auftritt. Ein entfernter, nicht authentifizierter Angreifer kann diese
Schwachstelle mit Hilfe speziell präparierter Anfragen ausnutzen, um den
Server zu einer Fehlinterpretation der Länge der Anfrage zu veranlassen, um
HTTP-Anfragen zu schmuggeln und Cache Poisoning oder Credential-Entführung
im Fall von Proxy-Umgebungen zu erreichen.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2015-1146/

Schwachstelle CVE-2015-3183 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3183

Schwachstelle CVE-2015-3185 (NVD):
http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2015-3185

Ubuntu Security Notice USN-2686-1:
http://www.ubuntu.com/usn/usn-2686-1/

(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.