Sicherheitsscanner: Der Server schlägt zurück
Mit präparierten Antworten können Web-Server Schwachstellenscannern wie Nicto und N-Stealth Code unterschieben.
Von
Die Scanner Nikto und N-Stealth sollen Fehler und Sicherheitslücken in Web-Diensten aufspüren, indem sie auf Datenbanken zurückgreifen, die bekannte Exploits und fehlerhafte Service-Versionen enthalten und die Zielserver daraufhin überprüfen. Die jüngst von Cybsec gemeldeten Lecks werden durch die Art der Behandlung von Antworten der gescannten Services aufgerissen. So wird beispielsweise DHTML-Code, den ein Service im Server-Feld der HTTP-Antwort einschleust, bei der Analyse durch die beiden Sicherheitsscanner im Browser ausgeführt. Wird der Internet Explorer eingesetzt, geschieht dies innerhalb der lokalen Sicherheits-Zone.
Das Advisory von Cybsec liefert als Proof-of-Concept eine mod_security-basierte Konfigurationszeile für den Apache-Webserver mit: SecServerSignature "Microsoft-IIS/5.0<script>alert('test')</script>"
Fehlerhaft sind die Versionen vor 5.8.0.38 der N-Stealth-Commercial-Edition und vor 5.8.1.03 der N-Stealth-Free-Edition. Der kostenlose OpenSource-Scanner Nikto weist den Fehler in der Version 1.35 und früher auf. Die Hersteller liefern auf ihren Homepages Updates aus, die die Lücken schließen.
Siehe dazu auch:
- Security Advisory von Cybsec
