Ernstig lek in Apache voor Windows
Systeembeheerders die niet de meest recente Apache versie op Windows draaien wordt dringend aangeraden te upgraden. Beveiligingsbedrijf Sense of Security ontdekte een ernstige kwetsbaarheid in versie 2.2.14, waardoor aanvallers de webserver kunnen overnemen. Apache is de populairste webserver op het internet en heeft volgens internetbedrijf Netcraft een marktaandeel van 54%.
Het lek bevindt zich in de mod_isapi, een kernmodule van Apache die de Internet Server extensie implementeert. De extensie laat Apache de Internet Server extensies aan Microsoft gebaseerde hosts aanbieden. Door een speciaal geprepareerde request te sturen, gevolgd door een reset packet, kan een aanvaller het lek in mod_isapi veroorzaken. Vervolgens is het mogelijk om willekeurige code met system-rechten uit te voeren.
Upgraden
Naast de advisory heeft het beveiligingsbedrijf ook een proof-of-concept exploit online gezet. Beheerders krijgen het advies om naar versie 2.2.15 te upgraden, die ook twee andere lekken verhelpt.
Ik gebruik het zelf ook op een WIndows gebaseerd thuisservertje. Ik heb trouwens een oudere versie die niet voor deze exploit vatbaar is.
Dat is voor een "hacker" natuurlijk totaal niet interessant. Ik denk (hoop) niet dat er veel productie servers draaien op Windows met Apache.
Alleen is het een ramp omdat te doen... je kan namelijk alleen een msi bestand downloaden van die versie! En aangezien ik Apache op een aparte locatie heb staan moet ik hem eerst installeren, dan die bestanden kopiëren TIG KEER DIE *PIEP* UAC melding weg klikken en dan die installatie weer verwijderen... Oh.. :| op Linux is toch echt een stuk makkelijker.
kan je beter hier helemaal niet mee discuseren over servers. de risico dat linux even veilig is als windows is groot.
niet doormede dat linux niet beter is. maar omdat men bij linux teveel gaten open laat staan door onwetenheid
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
