Kritische Lücken in Nagios behoben
Durch Schwachstellen in mehreren CGI-Skripten des Netzwerkmonitors könnte ein Angreifer unter Umständen übers Netz beliebigen Schadcode einschmuggeln.
Die neuen Versionen 1.4 und 2.3 des freien Netzwerkmonitors Nagios [1] beheben mehrere kritische Schwachstellen, über die ein Angreifer unter Umständen übers Netz beliebigen Schadcode mit Rechten des Webserverprozesses zur Ausführung bringen könnte. Laut Release-Notes [2] kann es bei der Verarbeitung negativer Werte für die Längenangabe content_length im Header einer HTTP-Anfrage auf manchen Serverplattformen zu einem Buffer-Overflow kommen.
Etwas vage heißt es dort auch weiter, dass der Fehler unter dem Webserver Apache [3], der auf rund drei Vierteln [4] der Webserver im Internet läuft, wahrscheinlich nicht auftrete. Nagios-Entwickler Ethan Galstad empfielt jedoch allen Nutzern, umgehend ein Update auf eine der beiden neuen Versionen durchzuführen.
Siehe dazu auch: (cr [5])
- Nagios 2.3 and 1.4 Available [6], Release-Notes und Changelog
URL dieses Artikels:
https://www.heise.de/-122414
Links in diesem Artikel:
[1] http://www.nagios.org/
[2] https://sourceforge.net/mailarchive/forum.php?thread_id=10297806&forum_id=7890
[3] http://httpd.apache.org/
[4] http://news.netcraft.com/archives/web_server_survey.html
[5] mailto:cr@ct.de
[6] https://sourceforge.net/mailarchive/forum.php?thread_id=10297806&forum_id=7890
Copyright © 2006 Heise Medien