Sun beseitigt Schwachstellen in Webservern und Proxys
Updates beseitigen eine HTTP-Request-Smuggling-Lücke in Suns Java System Web-Servern und -Proxys. Ein Angreifer konnte darüber die Inhalte von Webcaches manipulieren sowie Firewalls und Intrusion Detection Systeme täuschen.
Sun weist in einer Warnung auf einen Fehler in mehreren seiner Server-Produkte hin, die für sogenannte HTTP-Request-Smuggling-Attacken [1](HRS) anfällig sind. Ein Angreifer kann darüber aus der Ferne beispielsweise die Inhalte von Webcaches manipulieren (Web Cache Poisoning), Firewalls und Intrusion Detection/Prevention Systeme täuschen und HTTP-Sitzungen entführen. Zudem ist darüber Cross-Site-Scripting (XSS) möglich.
Das Problem tritt nur dann auf, wenn etwa der Sun Java System Proxy Server in Kombination mit dem Java System Application Server oder the Sun Java System Web Server eingesetzt wird. Dabei interpretieren die Systeme im Verbindungspfad wiedersprüchliche oder inkonsistente Angaben nicht unbedingt gleich. So werten die Systeme etwa mehrere Content-Length-Headern in derselben Anfrage unterschiedlich aus.
Der Hersteller Watchfire wies auf diese Problematik bereits Mitte des letzten Jahres in einem Whitepaper zu HRS [2] hin und erwähnte explizit SunOne Proxy und SunOne Webserver. Sun referenziert in seinem Fehlerbericht nun ebenfalls auf dieses Whitepaper. Unklar ist, ob Sun dieses Problem erst nach anderthalb Jahren aufgefallen ist oder die Fehlerbeseitigung so lange Zeit in Anspruch nahm.
Die nun zur Verfügung gestellten Updates beseitigen das Problem in Sun Java System Web Server, Sun Java System Application Server, Sun ONE Application Server und Sun Java System Web Proxy Server. Die genauen Versionsstände sind dem Originalfehlerbericht [3] zu entnehmen.
Siehe dazu auch:
- Security Vulnerability With HTTP Requests in Sun Java System Server(s) [4], Fehlerbeschreibung von Sun
(dab [5])
URL dieses Artikels:
https://www.heise.de/-123323
Links in diesem Artikel:
[1] https://www.heise.de/hintergrund/HTTP-Request-Smuggling-270706.html
[2] https://www.heise.de/hintergrund/HTTP-Request-Smuggling-270706.html
[3] http://sunsolve.sun.com/search/document.do?assetkey=1-26-102733-1
[4] http://sunsolve.sun.com/search/document.do?assetkey=1-26-102733-1
[5] mailto:dab@ct.de
Copyright © 2006 Heise Medien