Ernstig lek in Apache voor Windows
Systeembeheerders die niet de meest recente Apache versie op Windows draaien wordt dringend aangeraden te upgraden. Beveiligingsbedrijf Sense of Security ontdekte een ernstige kwetsbaarheid in versie 2.2.14, waardoor aanvallers de webserver kunnen overnemen. Apache is de populairste webserver op het internet en heeft volgens internetbedrijf Netcraft een marktaandeel van 54%.
Het lek bevindt zich in de mod_isapi, een kernmodule van Apache die de Internet Server extensie implementeert. De extensie laat Apache de Internet Server extensies aan Microsoft gebaseerde hosts aanbieden. Door een speciaal geprepareerde request te sturen, gevolgd door een reset packet, kan een aanvaller het lek in mod_isapi veroorzaken. Vervolgens is het mogelijk om willekeurige code met system-rechten uit te voeren.
Upgraden
Naast de advisory heeft het beveiligingsbedrijf ook een proof-of-concept exploit online gezet. Beheerders krijgen het advies om naar versie 2.2.15 te upgraden, die ook twee andere lekken verhelpt.
Ik gebruik het zelf ook op een WIndows gebaseerd thuisservertje. Ik heb trouwens een oudere versie die niet voor deze exploit vatbaar is.
Dat is voor een "hacker" natuurlijk totaal niet interessant. Ik denk (hoop) niet dat er veel productie servers draaien op Windows met Apache.
Alleen is het een ramp omdat te doen... je kan namelijk alleen een msi bestand downloaden van die versie! En aangezien ik Apache op een aparte locatie heb staan moet ik hem eerst installeren, dan die bestanden kopiëren TIG KEER DIE *PIEP* UAC melding weg klikken en dan die installatie weer verwijderen... Oh.. :| op Linux is toch echt een stuk makkelijker.
kan je beter hier helemaal niet mee discuseren over servers. de risico dat linux even veilig is als windows is groot.
niet doormede dat linux niet beter is. maar omdat men bij linux teveel gaten open laat staan door onwetenheid
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
