800+ IT
News
als RSS Feed abonnieren📚 Apache HTTP Server bis 2.4.24 mod_session_crypto Padding schwache Verschlüsselung
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com
Es wurde eine kritische Schwachstelle in Apache HTTP Server bis 2.4.24 entdeckt. Hiervon betroffen ist eine unbekannte Funktion der Komponente mod_session_crypto. Durch Manipulation mit einer unbekannten Eingabe kann eine schwache Verschlüsselung-Schwachstelle (Padding) ausgenutzt werden. Dies wirkt sich aus auf Vertraulichkeit, Integrität und Verfügbarkeit.
Die Schwachstelle wurde am 20.12.2016 als Apache HTTP Server 2.4.25 Released in Form eines bestätigten Release Notess (Website) publik gemacht. Das Advisory kann von httpd.apache.org heruntergeladen werden. Die Verwundbarkeit wird unter CVE-2016-0736 geführt. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Nicht vorhanden sind sowohl technische Details als auch ein Exploit zur Schwachstelle. Als Preis für einen Exploit ist zur Zeit ungefähr mit USD $0-$5k zu rechnen.
Ein Upgrade auf die Version 2.4.25 vermag dieses Problem zu beheben. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Apache hat also sofort reagiert.
Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityTracker (ID 1037508) dokumentiert. Die Einträge 67180, 67181, 67182 und 67183 sind sehr ähnlich.
CVSSv3
Base Score: 5.6 [?]Temp Score: 5.4 [?]
Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L/E:X/RL:O/RC:C [?]
Zuverlässigkeit: High
CVSSv2
Base Score: 6.8 (CVSS2#AV:N/AC:M/Au:N/C:P/I:P/A:P) [?]Temp Score: 5.9 (CVSS2#E:ND/RL:OF/RC:C) [?]
Zuverlässigkeit: High
CPE
- cpe:/a:apache:http_server:2.4.0
- cpe:/a:apache:http_server:2.4.1
- cpe:/a:apache:http_server:2.4.2
- cpe:/a:apache:http_server:2.4.3
- cpe:/a:apache:http_server:2.4.4
- cpe:/a:apache:http_server:2.4.5
- cpe:/a:apache:http_server:2.4.6
- cpe:/a:apache:http_server:2.4.7
- cpe:/a:apache:http_server:2.4.8
- cpe:/a:apache:http_server:2.4.9
- cpe:/a:apache:http_server:2.4.10
- cpe:/a:apache:http_server:2.4.11
- cpe:/a:apache:http_server:2.4.12
- cpe:/a:apache:http_server:2.4.13
- cpe:/a:apache:http_server:2.4.14
- cpe:/a:apache:http_server:2.4.15
- cpe:/a:apache:http_server:2.4.16
- cpe:/a:apache:http_server:2.4.17
- cpe:/a:apache:http_server:2.4.18
- cpe:/a:apache:http_server:2.4.19
- cpe:/a:apache:http_server:2.4.20
- cpe:/a:apache:http_server:2.4.21
- cpe:/a:apache:http_server:2.4.22
- cpe:/a:apache:http_server:2.4.23
- cpe:/a:apache:http_server:2.4.24
Exploiting
Klasse: Schwache VerschlüsselungLokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)
Gegenmassnahmen
Empfehlung: UpgradeStatus: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt
Upgrade: HTTP Server 2.4.25
Timeline
20.12.2016 Advisory veröffentlicht20.12.2016 Gegenmassnahme veröffentlicht
21.12.2016 SecurityTracker Eintrag erstellt
22.12.2016 VulDB Eintrag erstellt
22.12.2016 VulDB letzte Aktualisierung
Quellen
Advisory: Apache HTTP Server 2.4.25 ReleasedStatus: Bestätigt
CVE: CVE-2016-0736 (mitre.org) (nvd.nist.org) (cvedetails.com)
SecurityTracker: 1037508 - Apache HTTPD Multiple Flaws Let Remote Users Deny Service, Conduct HTTP Response Splitting Attacks, and Access and Modify Session Data
Siehe auch: 67180, 67181, 67182, 67183, 67184, 67185, 68435, 76731, 76732, 76733, 88747, 94625, 94627
Eintrag
Erstellt: 22.12.2016Eintrag: 75.2% komplett
...