ID-Klau mit Apaches suexec

Der Sicherheitsdienstleister iDefense meldet mehrere Schwachstellen in Apaches Hilfsprogramm suexec, mit dem beispielsweise ein CGI-Skript mit den Rechten des Eigentümers statt denen des Webserver-Prozesses laufen kann. Durch die Schwachstellen sei es einem lokalen Benutzer möglich, Programme mit den Rechten eines anderen Users auszuführen. Allerdings kann suexec per Default nur von dem User gestartet werden, unter dessen Account auch der Webserver laufe (etwa "httpd"). Außerdem begrenze suexec die möglichen UIDs und GIDs. suexec gehört zwar zum Lieferumfang von Apache, ist aber zum Beispiel unter Fedora standardmäßig nicht einsatzbereit. Wer suexec nicht nutzt, kann zum Schutz präventiv das Setuid-Bit entfernen:

# chmod -s /path/to/suexec

Das Apache-Team erwiderte auf die Benachrichtigung durch iDefense, dass zum Ausnutzen der Schwachstellen eine unsichere Konfiguration nötig sei, in der der Webserver-User Schreibrechte im Document Root habe. Und suexec könne unmöglich alle möglichen unsicheren Konfigurationen berücksichtigen. Mit einem Fix ist deshalb nicht zu rechnen.

Siehe dazu auch:

• Apache HTTPD suEXEC Multiple Vulnerabilities von iDefense

(ju)