Hallo! Kann man hier Apache Themen diskutieren? Es geht um die Verwundbarkeit des Apache nach der heutigen Heise-Meldung. Das mod-rewrite funktioniert nicht bei den meisten vhosts. Andreas -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Am Donnerstag, den 25.08.2011, 19:07 +0200 schrieb Andreas Meyer:
Hallo!
Kann man hier Apache Themen diskutieren? Es geht um die Verwundbarkeit des Apache nach der heutigen Heise-Meldung. Das mod-rewrite funktioniert nicht bei den meisten vhosts.
Solche Meldungen sind leider immer sehr zweideutig. Vor allem, wenn es so öffentlich verkündet wird, ist ja umso mehr dazu gezwungen als Administrator Updates und Patches einzuspielen. Wenn man nur 1-2 Server hat, und die möglichst in "Griffweite", dann ist das eher halb so schlimm. Aber das ist leider nur selten der Fall (also bei mir NICHT). Mal angenommen man hat Kunden, die z.b. SLES9 oder 10 benutzen, einfach so, ohne für Updates zu zahlen... Denen sollte man ja auch unbedingt raten ( :-) ) zu zahlen, oder auf openSUSE zu migrieren. Die Repositories im OBS sind aber nicht ganz so schlecht oder? z.b. http://download.opensuse.org/repositories/server:/php/server_apache_SLE_10/ -- LG Matthias -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Hallo Andreas
Kann man hier Apache Themen diskutieren? Es geht um die Verwundbarkeit des Apache nach der heutigen Heise-Meldung. Das mod-rewrite funktioniert nicht bei den meisten vhosts.
Ich habe die von mir betreuten Apaches auf SetEnvIf nach http://article.gmane.org/gmane.comp.apache.announce/58 umgestellt. Hierzu muss das Modul headers eingebunden werden, was nicht überall der Fall ist. Ob das was bringt, das wird man sehen. Grüße Udo
Hallo!
Udo Neist
Hallo Andreas
Kann man hier Apache Themen diskutieren? Es geht um die Verwundbarkeit des Apache nach der heutigen Heise-Meldung. Das mod-rewrite funktioniert nicht bei den meisten vhosts.
Ich habe die von mir betreuten Apaches auf SetEnvIf nach http://article.gmane.org/gmane.comp.apache.announce/58 umgestellt. Hierzu muss das Modul headers eingebunden werden, was nicht überall der Fall ist. Ob das was bringt, das wird man sehen.
Ok, schau ich mir an. Das Problem, das ich hier habe ist, dass für einen vhost die RewriteEngine anscheinend funktioniert für alle anderen nicht. Ich habe ein diff der funktionierenden config und der nicht funktionierenden gemacht und sie unterscheiden sich lediglich in den vhostspezifischen Angaben. Dennoch funktiert die eine, die andere nicht. Ist das nicht merkwürdig? Der Webserver läuft unter einer openSUSE 10.3 # httpd2 -v Server version: Apache/2.2.4 (Linux/SUSE) Server built: Mar 26 2008 12:37:48
Grüße Udo
Andreas -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Am Donnerstag, 25. August 2011, 19:37:59 schrieb Andreas Meyer: (...)
Ok, schau ich mir an. Das Problem, das ich hier habe ist, dass für einen vhost die RewriteEngine anscheinend funktioniert für alle anderen nicht. Ich habe ein diff der funktionierenden config und der nicht funktionierenden gemacht und sie unterscheiden sich lediglich in den vhostspezifischen Angaben. Dennoch funktiert die eine, die andere nicht.
Ist das nicht merkwürdig? Der Webserver läuft unter einer openSUSE 10.3
# httpd2 -v Server version: Apache/2.2.4 (Linux/SUSE) Server built: Mar 26 2008 12:37:48
Schau doch mal in /etc/sysconfig/apache2 nach. Da muss unter APACHE_MODULES= rewrite ausdrücklich aktiviert werden, sonst läuft das nicht. Jürgen -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Juergen Langowski
Am Donnerstag, 25. August 2011, 19:37:59 schrieb Andreas Meyer:
(...)
Ok, schau ich mir an. Das Problem, das ich hier habe ist, dass für einen vhost die RewriteEngine anscheinend funktioniert für alle anderen nicht. Ich habe ein diff der funktionierenden config und der nicht funktionierenden gemacht und sie unterscheiden sich lediglich in den vhostspezifischen Angaben. Dennoch funktiert die eine, die andere nicht.
Ist das nicht merkwürdig? Der Webserver läuft unter einer openSUSE 10.3
# httpd2 -v Server version: Apache/2.2.4 (Linux/SUSE) Server built: Mar 26 2008 12:37:48
Schau doch mal in /etc/sysconfig/apache2 nach. Da muss unter
APACHE_MODULES=
rewrite ausdrücklich aktiviert werden, sonst läuft das nicht.
Wie gesagt, es ist aktiviert und funktioniert auch für einen vhost, für die anderen nicht. Ich kann keinen Grund finden, warum das so ist.
Jürgen
Andreas -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Hi Andreas! On Do, 25 Aug 2011, Andreas Meyer wrote:
Wie gesagt, es ist aktiviert und funktioniert auch für einen vhost, für die anderen nicht. Ich kann keinen Grund finden, warum das so ist.
Einfach mal das Logging aktivieren mittels RewriteLog bzw. RewriteLogLevel. Mit freundlichen Grüßen Christian -- Ich bin zweimal in 25 Jahren vom New Yorker zitiert worden, was manche für wichtiger als den Nobelpreis halten. Das ist zwar nicht so häufig wie Al Capone, aber ich war auch nicht so innovativ wie er. -- Joseph Weizenbaum -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Udo Neist
Hallo Andreas
Kann man hier Apache Themen diskutieren? Es geht um die Verwundbarkeit des Apache nach der heutigen Heise-Meldung. Das mod-rewrite funktioniert nicht bei den meisten vhosts.
Ich habe die von mir betreuten Apaches auf SetEnvIf nach http://article.gmane.org/gmane.comp.apache.announce/58 umgestellt. Hierzu muss das Modul headers eingebunden werden, was nicht überall der Fall ist. Ob das was bringt, das wird man sehen.
Ich habe jetzt das modul_headers geladen und nach obiger Anleitung in die config eingetragen und den Server neu gestartet. Vorher ein SuSEconfig durchgeführt. Dennoch meint das apachekiller.pl host seems vuln ATTACKING www.abcd.de [using 50 forks]
Grüße Udo
Andreas -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
Am 25.08.2011 19:07, schrieb Andreas Meyer:
Hallo!
Kann man hier Apache Themen diskutieren? Es geht um die Verwundbarkeit des Apache nach der heutigen Heise-Meldung. Das mod-rewrite funktioniert nicht bei den meisten vhosts.
Andreas
Hallo, die Meldung habe ich auch mitbekommen und gerade ein Bugreport aufgemacht. Zusätzlich habe ich das Security-Team via CC im Bugreport benachrichtigt. Das Security-Team wird sich das Problem annehmen und es auch schnellstmöglich beheben. https://bugzilla.novell.com/show_bug.cgi?id=714306 -- Gruß Sebastian - openSUSE Member (Freespacer) Webseite/Blog: http://www.sebastian-siebert.de Wichtiger Hinweis zur openSUSE Mailing Liste: http://de.opensuse.org/OpenSUSE_Mailinglisten-Netiquette -- Um die Liste abzubestellen, schicken Sie eine Mail an: opensuse-de+unsubscribe@opensuse.org Um eine Liste aller verfuegbaren Kommandos zu bekommen, schicken Sie eine Mail an: opensuse-de+help@opensuse.org
participants (6)
-
Andreas Meyer -
Christian Brabandt -
Juergen Langowski -
Matthias Praunegger -
Sebastian Siebert -
Udo Neist