CVE-2019-10092: Beschränktes Cross-Site Scripting über die „Proxy Error“-Seite im Apache HTTP Server

Im Apache HTTP Server 2.4.0-2.4.39 wurde ein Problem mit beschränktem Cross-Site Scripting gemeldet, das die mod_proxy-Fehlerseite betrifft. Ein Angreifer könnte den Link auf der Fehlerseite so manipulieren, dass er auf eine Seite seiner Wahl verweist. Dies wäre nur ausnutzbar, wenn ein Server mit aktiviertem Proxy eingerichtet, aber so fehlkonfiguriert war, dass die Proxy-Fehlerseite angezeigt wurde.

Offenlegung durch den Hersteller:

Die Offenlegung und der Patch des Herstellers für diese Schwachstelle sind hier zu finden.

Anforderungen:

Diese Schwachstelle erfordert:

• Eine Möglichkeit, die „Proxy Error“-Seite zu erreichen
• Benutzerinteraktion

Proof of Concept:

Weitere Details und der Ausnutzungsprozess können in diesem PDF gefunden werden.

Zusätzliche Ressourcen:

Alternative Methode zur Ausnutzung von CVE-2019-10092, vorgestellt von Sebastian Neef in diesem Blogbeitrag.