MÜNCHEN (COMPUTERWOCHE) - Die Sicherheitsexperten von @Stake warnen vor einer Sicherheitslücke in Suns Applikations-Server Sun ONE, durch die sich Angreifer volle Zugriffsrechte auf den zugehörigen Web-Server verschaffen können. Der Fehler steckt im "Connector Module", einem NSAPI-Plug-in (Netscape Server Application Programming Interface), das den Web-Server mit dem Applikations-Server integriert. Um die Lücke auszunutzen, verursachen die Angreifer einen Speicherüberlauf, indem sie einen überlangen URI (Uniform Resource Indicator) via HTTP-Anfrage (Hypertext Transfer Protocol) an den Server schicken.

Betroffen sind die Sun-ONE-Versionen 6.0 und 6.5. Ein Patch ist nur für die Version 6.5 verfügbar und im Service Pack 1 für den Server enthalten. Für die Version 6.0 empfehlen die Experten, via NSAPI-Modul die Länge der über HTTP-Anfragen geschickten URIs zu prüfen oder SSL-Anfragen (Secure Sockets Layer) abzufangen, bevor sie auf den Web-Server gelangen. (lex)