Bei der Verarbeitung der "OPTIONS"-Methode führt ein Fehler im Apache-Webserver zu einer kritischen Sicherheitslücke. Unter bestimmten Umstände sorgt ein Optionsbleed-Bug dafür, dass Apache im Antwortheader auf eine entsprechende Anfrage zufällige Speicherfragmente verschickt.

Darunter können Passwörter, Teile von Konfigurationsdateien, Codefragmente und vieles mehr enthalten sein. Diese Lücke hat viele Ähnlichkeiten mit anderen "Bleed"-Lücken wie Heartbleed oder Cloudbleed.

Das HTTP-Protokoll unterstützt verschiedene Methoden, um mit Webservern zu interagieren. In der Regel werden meist nur die GET und POST-Methoden genutzt. Mit GET-Anfragen werden gewöhnliche Webseiten aufgerufen und mit POST-Anfragen werden Daten an einen Webserver verschickt, beispielsweise Formulareingaben.

Doch es werden noch andere Methoden von HTTP unterstützt. Die OPTIONS-Methode fragt beim Webserver nach, welche Methoden dieser unterstützt. Webserver, die diese unterstützen, bekommen als Antwort ein Header namens "Allow" zugeschickt, der eine Liste der unterstützten Methoden enthält.

Es wurde festgestellt, dass eine Reihe von Servern auf die entsprechende OPTIONS-Anfragen mit offensichtlich defekten Allow-Headern antworten. Teilweise wurden die Methoden mehrfach wiederholt, teilweise wurden Binärdaten mitgeschickt, teilweise waren Bruchstücke von HTML-Code oder aus Konfigurationsdateien zu sehen.

(pp, hannover)

(siehe auch golem.de:)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE