800+ IT
News
als RSS Feed abonnieren📚 Apache HTTP Server bis 2.4.24 mod_auth_digest Crash Denial of Service
💡 Newskategorie: Sicherheitslücken
🔗 Quelle: vuldb.com
In Apache HTTP Server bis 2.4.24 wurde eine problematische Schwachstelle entdeckt. Betroffen ist eine unbekannte Funktion der Komponente mod_auth_digest. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine Denial of Service-Schwachstelle (Crash) ausgenutzt werden. Die Auswirkungen sind bekannt für die Verfügbarkeit.
Die Schwachstelle wurde am 20.12.2016 als Apache HTTP Server 2.4.25 Released in Form eines bestätigten Release Notess (Website) öffentlich gemacht. Bereitgestellt wird das Advisory unter httpd.apache.org. Die Verwundbarkeit wird als CVE-2016-2161 geführt. Sie gilt als leicht ausnutzbar. Der Angriff kann über das Netzwerk angegangen werden. Um eine Ausnutzung durchzusetzen, muss keine spezifische Authentisierung umgesetzt werden. Technische Details sind nicht bekannt und ein Exploit zur Schwachstelle ist ebenfalls nicht vorhanden. Die Beschaffenheit der Schwachstelle lässt vermuten, dass ein Exploit momentan zu etwa USD $0-$5k gehandelt werden wird.
Ein Aktualisieren auf die Version 2.4.25 vermag dieses Problem zu lösen. Das Erscheinen einer Gegenmassnahme geschah direkt nach der Veröffentlichung der Schwachstelle. Apache hat damit sofort gehandelt.
Mitunter wird der Fehler auch in der Verwundbarkeitsdatenbank von SecurityTracker (ID 1037508) dokumentiert. Von weiterem Interesse können die folgenden Einträge sein: 67180, 67181, 67182 und 67183.
CVSSv3
Base Score: 5.3 [?]Temp Score: 5.1 [?]
Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L/E:X/RL:O/RC:C [?]
Zuverlässigkeit: High
CVSSv2
Base Score: 5.0 (CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P) [?]Temp Score: 4.4 (CVSS2#E:ND/RL:OF/RC:C) [?]
Zuverlässigkeit: High
CPE
- cpe:/a:apache:http_server:2.4.0
- cpe:/a:apache:http_server:2.4.1
- cpe:/a:apache:http_server:2.4.2
- cpe:/a:apache:http_server:2.4.3
- cpe:/a:apache:http_server:2.4.4
- cpe:/a:apache:http_server:2.4.5
- cpe:/a:apache:http_server:2.4.6
- cpe:/a:apache:http_server:2.4.7
- cpe:/a:apache:http_server:2.4.8
- cpe:/a:apache:http_server:2.4.9
- cpe:/a:apache:http_server:2.4.10
- cpe:/a:apache:http_server:2.4.11
- cpe:/a:apache:http_server:2.4.12
- cpe:/a:apache:http_server:2.4.13
- cpe:/a:apache:http_server:2.4.14
- cpe:/a:apache:http_server:2.4.15
- cpe:/a:apache:http_server:2.4.16
- cpe:/a:apache:http_server:2.4.17
- cpe:/a:apache:http_server:2.4.18
- cpe:/a:apache:http_server:2.4.19
- cpe:/a:apache:http_server:2.4.20
- cpe:/a:apache:http_server:2.4.21
- cpe:/a:apache:http_server:2.4.22
- cpe:/a:apache:http_server:2.4.23
- cpe:/a:apache:http_server:2.4.24
Exploiting
Klasse: Denial of ServiceLokal: Nein
Remote: Ja
Verfügbarkeit: Nein
Aktuelle Preisschätzung: $0-$5k (0-day) / $0-$5k (Heute)
Gegenmassnahmen
Empfehlung: UpgradeStatus: Offizieller Fix
Reaction Time: 0 Tage seit gemeldet
0-Day Time: 0 Tage seit gefunden
Exposure Time: 0 Tage seit bekannt
Upgrade: HTTP Server 2.4.25
Timeline
20.12.2016 Advisory veröffentlicht20.12.2016 Gegenmassnahme veröffentlicht
21.12.2016 SecurityTracker Eintrag erstellt
22.12.2016 VulDB Eintrag erstellt
22.12.2016 VulDB letzte Aktualisierung
Quellen
Advisory: Apache HTTP Server 2.4.25 ReleasedStatus: Bestätigt
CVE: CVE-2016-2161 (mitre.org) (nvd.nist.org) (cvedetails.com)
SecurityTracker: 1037508 - Apache HTTPD Multiple Flaws Let Remote Users Deny Service, Conduct HTTP Response Splitting Attacks, and Access and Modify Session Data
Siehe auch: 67180, 67181, 67182, 67183, 67184, 67185, 68435, 76731, 76732, 76733, 88747, 94625, 94626
Eintrag
Erstellt: 22.12.2016Eintrag: 75.2% komplett
...