Apache, die weltweit verbreitete Webserver-Software, ist immer wieder Opfer bekannter Schwachstellen geworden. Diese Schwachstellen machen den Server anfällig für verschiedene Formen von bösartigen Angriffen und anderen Internet-Betrügereien, die zu Informationsdiebstahl und -verlust führen. Während Apache regelmäßig Updates für seine anfälligen Versionen veröffentlicht, sind die folgenden Apache-Schwachstellen wegen ihrer potenziellen Gefährdung der Benutzer berüchtigt geworden.
Die Apache OpenMeetings Version 1.0.0 wurde für eine SQL-Injection-Schwachstelle (CVE-2017-7681) anfällig, wodurch Informationen offengelegt werden können. Um die Schwachstelle auszunutzen, muss der Angreifer in das System eingeloggt sein, z. B. über eine Befehlszeile, eine Desktop-Sitzung oder eine Webschnittstelle. Die Änderung einiger Systemdateien oder Informationen ist möglich, aber der Angreifer hat keine Kontrolle darüber, was geändert werden kann, oder der Umfang dessen, was der Angreifer beeinflussen kann, ist begrenzt.
OpenMeetings ist eine der beliebtesten Software für virtuelle Meetings und wird häufig für Online-Präsentationen, Online-Schulungen, Webkonferenzen und die gemeinsame Nutzung von Benutzer-Desktops verwendet. Die weit verbreitete Nutzung birgt das Risiko, dass die Struktur der bestehenden Abfrage und die Struktur anderer Abfragen, die von der Anwendung im Back-End gemacht werden, durchgesickert sind.
Die unmittelbare Abhilfe ist ein Upgrade auf Apache OpenMeetings 3.3.0
Wenn Sie nach einer Sicherheitslösung für Ihre Website suchen (benutzerdefiniert kodiert oder CMS), wird Astra Firewall Ihre Website rund um die Uhr vor XSS, LFI, RFI, SQL-Injection, bösen Bots und 80+ anderen Bedrohungen schützen. Holen Sie sich jetzt eine Astra-Demo.
Apache Ranger Security Bypass Vulnerability
Apache Ranger wurde anfällig für eine Security-Bypass-Schwachstelle gemacht (CVE-2017-7676). Folglich können Angreifer dieses Problem ausnutzen, um bestimmte Sicherheitsbeschränkungen zu umgehen und unbefugte Aktionen durchzuführen, was zu weiteren Angriffen führen kann. Dadurch kann der Policy Resource Matcher Zeichen nach dem Platzhalter ‚*‘ ignorieren, was dazu führt, dass betroffene Richtlinien auf Ressourcen angewendet werden, auf die sie nicht angewendet werden sollten.
Apache Ranger ist ein weit verbreitetes Framework, das zur Aktivierung, Überwachung und Verwaltung umfassender Datensicherheit auf der Hadoop-Plattform verwendet wird. Obwohl es als wenig schwerwiegend eingestuft wird, ist es effektiv. Die Sicherheitsumgehungsschwachstelle betrifft die Ranger-Versionen 0.5.1 bis 0.7. Die unmittelbare Abhilfemaßnahme ist ein Upgrade auf Apache Ranger Version 0.7.1, die dieses Problem behebt.
Apache HTTP Server Authentication Bypass Vulnerability
Die Apache HTTP Server CVE-2017-3167 Authentication Bypass Vulnerability ermöglicht es einem Angreifer, den Authentifizierungsmechanismus zu umgehen und nicht autorisierte Aktionen durchzuführen, was zu weiteren Angriffen führt. Die von dieser Sicherheitsanfälligkeit betroffenen Versionen sind Apache HTTP Server 2.2.0 bis 2.2.32 und Apache HTTP Server 2.4.0 bis 2.4.25
Die Sicherheitsanfälligkeit rührt von der unsachgemäßen Verwendung der ap_get_basic_auth_pw()-Funktion von Apache HTTP Server durch Drittanbietermodule außerhalb der Authentifizierungsphase der betroffenen Software her. Stattdessen sollten die Module von Drittanbietern die Funktion ap_get_basic_auth_components() verwenden.
Zu den Schutzmaßnahmen gehören die Aktualisierung auf die korrigierte Version, der Netzwerkzugriff nur für vertrauenswürdige Benutzer und die Verwendung von IP-basierten Zugriffskontrolllisten (ACLs), um nur vertrauenswürdigen Systemen den Zugriff auf die betroffenen Systeme zu ermöglichen.
Sehen Sie sich auch unseren ausführlichen Blog über die kritischsten Apache-Schwachstellen an
Sind Sie besorgt, Ihre Website vor Online-Betrügern zu schützen? Wenden Sie sich an die Web Security Suite von Astra, um rund um die Uhr Sicherheit vor XSS, LFI, RFI, SQL-Injection, bösen Bots und 80+ anderen Bedrohungen zu gewährleisten.
Take Astra Demo now.