SimpleHTTPD führt eingeschleusten Code aus
Im HTTP-Server SimpleHTTPD können Angreifer aufgrund eines Pufferüberlaufs den Server abstürzen oder eingeschleusten Code ausführen lassen.
Der schlanke und auf zahlreichen Plattformen lauffähige HTTP-Server SimpleHTTPD kann von Angreifern aus dem Netz mittels manipulierter Anfragen zum Absturz oder zum Ausführen von beliebigem Programmcode gebracht werden. Grund dafür ist ein Pufferüberlauf beim Verarbeiten von präparierten HTTP-POST-Paketen.
Ein Proof-of-Concept-Eploit demonstriert die Schwachstelle in SHTTPD 1.34 auf hebräischem Windows XP mit Service Pack 1. Betroffen sind möglicherweise auch ältere Versionen des Servers. Die aktuelle Version 1.35 enthält den Fehler nicht mehr, weshalb SHTTPD-Nutzer schnellstmöglich auf diese Version aktualisieren sollten.
Siehe dazu auch: (dmk)
- SHTTPD-Projektseite auf Sourceforge
- Proof-of-Concept-Exploit von SkOd
