Ein jüngst veröffentlichter Patch für den Apache Webserver hat eine kritische Sicherheitslücke nicht ausreichend geschlossen. Jetzt legen die Entwickler einen Patch nach. Admins sollten ein Update machen.
Mit einem Patch für die wegen einer Path-Traversal-Lücke verwundbare Apache-Version 2.4.49 schien die Gefahr gebannt, dass Angreifer mit manipulierten URLs auf Dateien außerhalb des Document-Roots zugreifen können. Der Fehler ließ sich laut Apache-Sicherheitshinweis auch dazu nutzen, um die Quellen von interpretierten Dateien wie CGI-Skripten preiszugeben. Für die Lücke seien bereits Exploits im Umlauf, hatte Apache gewarnt und mit Version 2.4.50 eine gepatchte Ausgabe des Webservers herausgebracht. Das Problem betreffe nur Apache 2.4.49 und keine frühere Version hieß es weiter.
Allerdings genügte Version 2.4.50 nicht, wie Sicherheitsexperten herausfanden. Apache reagierte mit einer Version 2.4.50, in der das Problem nun beseitigt sein soll. Laut dem neuen Sicherheitshinweis ist über diese Lücke auch das Ausführen von Code aus der Ferne möglich, was das Problem noch brisanter macht. Administratoren sollten also von den verwundbaren Versionen 2.4.49 und 2.4.50 auf die gepatchte Version Apache 2.4.51 updaten.
