DFN-CERT-2012-0744 Schwachstelle im Apache HTTP-Server [Unix][Solaris]

Von DFN CERT

- 18. April 2012

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Apache HTTP-Server 2.0 und 2.2

Betroffene Plattformen:

Solaris 10
Solaris 11

Eine Schwachstelle im Apache HTTP-Server ermöglicht entfernten Angreifer,
die Werte von ‘HTTPOnly’-Cookies auszulesen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

https://login.oracle.com/mysso/signon.jsp

CVE-2012-0053: Schwachstelle im Apache HTTP-Server

In der Datei ‘protocol.c’ im Apache HTTP-Server 2.2.x bis 2.2.21 werden bei
der Generierung von ‘Bad’-Request Fehler-Dokumenten (Error 400) vorliegende
Header-Informationen nicht ausreichend überprüft. Dies ermöglicht einem
entfernten Angreifer, die Werte von ‘HTTPOnly’-Cookies auszulesen. Dies
geschieht durch ein nicht näher beschriebenes Vorgehen, bei dem lange oder
gezielt manipulierte Header in Kombination mit manipuliertem Web-Script
verwendet werden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-0744/

Das Hersteller Advisory:
https://blogs.oracle.com/sunsecurity/entry/cve_2012_0053_information_disclosure

Schwachstelle CVE-2012-0053:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-0053