Bezpečnostné varovanie V20170919-01V
| Dôležitosť | Kritická |
| Klasifikácia | TLP WHITE |
| Identifikátor |
| Optionsbleed Vulnerability in Apache |
| Popis |
| V metóde OPTIONS HTTP protokolu bola objavená kritická zraniteľnosť „Optionsbleed“, ktorá umožňuje útočníkovi pristupovať k ľubovoľným čatiam pamäte na serveri s Apache. Optionsbleed je zraniteľnosť typu use-after-free v Apache HTTP protokole, ktorá spôsobuje, že poškodený Allow header je zostavený ako odpoveď na požiadavku metódy HTTP OPTIONS. Môže to spôsobiť únik ľubovoľnej časti pamäte z procesov servera, ktoré môžu obsahovať aj citlivé informácie. Časti pamäte sa menia po viacerých požiadavkách, takže pre zraniteľného hosta môže dôjsť k úniku ľubovoľného počtu pamäťových blokov. |
| Dátum prvého zverejnenia varovania |
| 18. 09. 2017 |
| CVE |
| CVE-2017-9798 |
| Zasiahnuté systémy |
| Apache s povolenou metódou OPTIONS v kombinácii s nesprávne použitou direktívou Limit (či už v súbore .htaccess alebo hlavných konfiguračných súboroch Apache) Podrobnejší popis prípadov, kedy sa zraniteľnosť manifestuje, nájdete na: https://blog.fuzzing-project.org/60-Optionsbleed-HTTP-OPTIONS-method-can-leak- Apaches-server-memory.html |
| Následky |
| Neoprávnený prístup k informáciám a dátam, únik citlivých informácií |
| Odporúčania |
| Odporúčame podniknúť nasledujúce kroky: 1. Zistite, či je na vašom Apache serveri povolená metóda OPTIONS na HTTP protokole, napríklad pomocou príkazu: curl -sI -X OPTIONS „https://www.example/“ | grep ‚^Allow:‘ 2. Ak máte metódu OPTIONS povolenú, odporúčame otestovať, či obsahuje Optionsbleed zraniteľnosť a to pomocou scriptu, ktorý nájdete na tomto odkaze: https://github.com/hannob/optionsbleed 3. V každom prípade vykonajte bezodkladnú aktualizáciu Apache na všetkých serveroch, ktoré Apache využívajú. 4. Následne je potrebné pregenerovať nové privátne kľúče pre SSL certifikáty, revokovať staré certifikáty a dať si vystaviť nové. 5. Zmeňte heslá všetkým používateľom v systémoch, ktoré sú napojené na Apache servery. 6. Zmeňte administratívne heslá, ktorými sa webové aplikácie a iné služby a systémy autentifikujú napr. do SQL databáz, na mailový server alebo iné služby. 7. Zmeňte takisto aj heslá k e-mailom jednotlivých používateľov. 8. Upozornite na zmenu hesiel aj zamestnancov v organizácii, takisto ich upozornite, že ak rovnaké heslá používajú na viacerých miestach aj mimo organizácie, nech si tieto heslá zmenia aj tam. |
« Späť na zoznam
