Netcraft Webserver Survey juni 2002

De maandelijks terugkerende Web Server Survey van Netcraft is weer verschenen. Speciale aandacht gaat deze maand naar de beveiliging. Het internet zou kwestsbaarder zijn dan ooit vanwege een recent gevonden bug in Apache, en eerder uitgebrachte waarschuwing van Microsoft over buffer overflows met HTR mapping, wat 45% van de IIS servers aan heeft staan. Omdat het niet legaal is om te scannen op aanwezigheid van een zwak punt zijn alleen gegevens over de reactie op het Apache-lek beschikbaar. Binnen een week waren zes miljoen servers geupgrade, maar nog steeds zijn er 14 miljoen die mogelijk doelwit kunnen worden van een exploit. Het marktaandeel van Apache steeg 3,46 procent:

On the 17th June it was reported that many versions of the Apache web server were vulnerable to a buffer overflow through flawed functionality affecting its "Chunked Encoding" mechanism. If exploited, this could lead to a remote system compromise and exploits are already known to have been been developed for Windows, FreeBSD and OpenBSD. There is an active debate on whether exploits are possible for Linux and Solaris.

basil was opmerkzaam genoeg om de link in te sturen.

Reacties (12)

en eerder uitgebrachte waarschuwing van Microsoft over buffer overflows met HTR mapping, wat 45% van de IIS servers aan heeft staan.

Krijg daar nou wat?? Is al de tweede keer dat er een buffer overflow in de HTR-code zit (jaartje of drie/vier geleden ook al gebeurd) en ze hebben die boel nog steeds by-default aan staan? Waar is het eigenlijk voor nodig, volgens mij voor het remote aanpassen van het root-wachtwoord hè?

IOW: Een loze feature die al meer dan eens gevaar heeft opgeleverd, en het staat standaard aan. Waarom leren ze het nooit in Redmond?

IOW: Een loze feature die al meer dan eens gevaar heeft opgeleverd, en het staat standaard aan. Waarom leren ze het nooit in Redmond?

Het lijkt me niet helemaal eerlijk om alleen de schuld bij Microsoft te leggen. De system administrators zijn er net zo verantwoordelijk voor dat ze het aan laten staan.

Dat is nu net niet, admins zijn ook maar mensen en als je dat ding 10x installeert is er mischien wel een kans dat je het 1x vergeet.

Het is net zoals de drive sharing in XP, als je die aanzet is de 'mogen mijn files wijzigen' optie standaard aangevinkt. Zo'n dingen staan volgens mij best standaard uit.

Een default configuratie zou op zen minst veilig moeten zijn in alle opzichten, zodat iemand die er totaal niet van op de hoogte is en het ding niet configureerd ook geen schade kan veroorzaken.

Een default configuratie zou op zen minst veilig moeten zijn in alle opzichten, zodat iemand die er totaal niet van op de hoogte is en het ding niet configureerd ook geen schade kan veroorzaken.

Aan de ene kant heb je gelijk, maar aan de andere kant lijkt me (even een stom voorbeeld) dat je ongelijk hebt:

Een kogelvis kan je eten, maar die moet heel speciaal klaargemaakt worden. Dat laat je ook niet door de eerste de beste amateur doen. Anders kan het de "eter" zijn dood betekenen.

Wat ik dus wil zeggen is: Tuurlijk moet ie standaard redelijk tot goed beveiligd zijn, maar als ie echt helemaal dicht getimmerd moet zijn, ga je hacks op het register niveau krijgen (denk aan het C2 Security handbook). En dat laat je, lijkt mij, niet door iemand doen die er niet veel verstand van heeft.

<reactie op TeeDee>
Tenzij je als zaak gaat adverteren:
"Maak nu zelf uw kogelvis klaar. Zo gemakkelijk is het nog nooit geweest."

Dat is toch een beetje hoe Microsoft hun software in de markt zet.
Default onveilig = Lekker gemakkelijk

Duidelijk niet mis om te zien hoeveel Apache weer is gestegen ten koste van IIS. Maar nu de rollen weer omgekeerd zijn blijft natuurlijk te bezien hoe nauwkeurig deze metingen zijn.

En volgens de suggesties zou het aan de security liggen? Lijkt mij sterk want voor al die bugs zijn er ook al patches beschikbaar dus daar zal het niet aan gelegen kunnen hebben.

Duidelijk niet mis om te zien hoeveel Apache weer is gestegen ten koste van IIS. Maar nu de rollen weer omgekeerd zijn blijft natuurlijk te bezien hoe nauwkeurig deze metingen zijn.

Volgens mij was dat al vrij duidelijk dat Apache de markt domineerde of heb ik 't hier mis?

Wat mij ook verontrust is dat slechts 30%* (zie onder) van alle Apache servers gepatched is. Dit vind ik toch zeer kwalijk. Zeker nu er een Apache FreeBSD worm vrij rondloopt. Een Apache Linux worm zou net zo goed gigantisch veel schade kunnen veroorzaken: ik schat de gemiddelde FreeBSD sysadmin over het algemeen hoger in dan de gemiddelde Linux sysadmin. Vrij generaliserend, maar absoluut gezien klopt dit denk ik wel.

* NB: Netcraft kan bijv. niet testen of een Debian Potato 1.3.24 geptached is of niet. De server signature geeft hier logischerwijs geen informatie over. Ik weet niet hoeveel distributies cq. besturingssystemen ook gebruik maken van reversed versions maar dit levert iig enigzins een vertekend beeld op. In hoeverre is moeilijk te zeggen, helaas. Bovendien zien de getallen '6' en '14' er ook afgerond uit.

Een Apache Linux worm zou net zo goed gigantisch veel schade kunnen veroorzaken.

Dan moet je Apache als root draaien (wat niemand doet) of een exploit in de kernel hebben waardoor je root access kunt krijgen. Er zijn wel local rootable linux kernels, maar je bent wel een erg domme admin als je die nog hebt

Goed punt, dat laatste. Ik kan je iig vertellen dat ook RedHat de bugfixes gebackport heeft naar een oudere apache.. Ik gok er dan op dat alle distro's (op LFS na misschien ;-) dat gedaan hebben..

De metingen zijn dus inderdaad niet erg betrouwbaar waarschijnlijk.

Wat mij ook verontrust is dat slechts 30%* (zie onder) van alle Apache servers gepatched is. Dit vind ik toch zeer kwalijk.

Vergeet niet dat het hier om de survey van juni gaat. De bug in Apache is pas kortgeleden boven water gekomen en voor sommige distro's waren er niet dezelfde week al compleet nieuwe installaties beschikbaar, hooguit een tijdelijk patch. Ook RedHat had bijvoorbeeld alleen een tijdelijke patch. Ook voor mij was dat een reden om even te wachten op de officiele patch van RedHat, die dus pas op 26 Juni kwam. Ik neem dus aan dat volgende maand veel meer webservers gepatched zullen zijn.

Het valt me op dat apache toch weer gestegen is en IIS gedropt (in het grafiekje dan). Vorige maand bleef apache nagenoeg gelijk en dropte IIS ook weer.

iPlanet is qua servers gezakt maar qua sites als enige gestegen. (iPlanet is wel de som van alle iPlanet gerelateerde sites -> zal wel te maken hebben met de nieuwe webservices van Sun)

Toch altijd leuk die statistieken

Ze zeggen wel dat er nu ideale situaties zijn om een wereldwijde exploit epidimie op de beide grote platformen te starten (IIS en Apache!).

Ben benieuwd of dit DoomScenario uitkomt