CGI-Bug in Netscape-Servern
In letzter Zeit ist viel über Sicherheitslöcher bei HTML-Erweiterungen wie ActiveX, J/Direct (Tickermeldung: Microsoft befreit Java aus der Sandkiste) oder Javascript (
In letzter Zeit ist viel über Sicherheitslöcher bei HTML-Erweiterungen wie ActiveX, J/Direct (Tickermeldung: Microsoft befreit Java aus der Sandkiste) oder Javascript (Tickermeldung: Verrat durch Javascript) berichtet worden. Auch auf Serverseite ist nicht alles eitel Sonnenschein. Ein Bug im Netscape Commerce- und im Kommunikationserver erlaubt es, Authorisierungsmechanismen wie Login und Paßwort zu umgehen.
Beispiel: durch Basic Authorization wurde das Programm /cgi-bin/showsecrets geschützt. Wird es mit diesem URL gestartet, erscheint ein Login-Prompt. Hängt ein neugieriger Anwender ein /foobar an die URL an, wird showsecrets ohne Nachfrage gestartet - und /foobar erscheint lediglich in der Umgebungsvariable PATH_INFO.
Dies gilt für Netscape-Server der Version 1.12 und 2.0. Webmaster, die Netscape-Server dieser Generation einsetzen, können beispielsweise in die erste Zeile ihres CGI-Programms (hier C) folgende Zeile eintragen:
if(getenv("PATH_INFO")) puts("Status: 204\n");
Für Perl oder andere Scriptsprachen gilt entsprechendes. Netscape hat bislang weder bestätigt noch dementiert, ob die neuen Server-Versionen sich ebenso verhalten.
