HTTP Server

Die Schwachstelle betrifft den Apache HTTP Server und beruht darauf, dass eine zuvor ausgelieferte Korrektur eines verwandten Path-Traversal-Fehlers unzureichend war. Über einen Path-Traversal-Angriff kann ein Angreifer URLs gezielt so manipulieren, dass sie auf Dateien außerhalb der Verzeichnisse verweisen, die per Alias-artiger Direktiven freigegeben sind. Greift für diese außenliegenden Bereiche nicht die übliche Standardabsicherung, mit der jeder Zugriff grundsätzlich verweigert wird, lassen sich solche manipulierten Anfragen erfolgreich ausführen und der Angreifer kann Dateien außerhalb des vorgesehenen Bereichs auslesen. Sind für die betroffenen Pfade zusätzlich CGI-Skripte aktiviert, lässt sich der Fehler weiter eskalieren: Dann kann ein Angreifer aus der Ferne eigenen Code auf dem Server ausführen und so die Kontrolle über das System erlangen. Betroffen sind ausschließlich zwei bestimmte Versionszweige des Servers, frühere Ausgaben sind nicht anfällig.