„`html
Zusammenfassung
Eine Cross-Site-Scripting (XSS) Sicherheitslücke wurde in der HTML-Verzeichnislistenfunktion des mod_proxy_ftp-Moduls des Apache HTTP Server identifiziert. Die Schwachstelle betrifft alle Versionen bis einschließlich 2.4.67 und ermöglicht es Angreifern, beliebige JavaScript-Code in Webbrowser von Benutzern einzuschleusen, die FTP-Verzeichnislistungen über Proxy-Konfigurationen aufrufen.
Betroffene Systeme
Produkt: Apache HTTP Server
Betroffene Versionen: 2.4.67 und früher
Module: mod_proxy_ftp
Konfigurationen: Forward-Proxy und Reverse-Proxy Setups
Besonders gefährdet sind Systeme, die mod_proxy_ftp zur Bereitstellung von FTP-Verzeichnislistungen aktiviert haben.
Technische Details
Die Schwachstelle liegt in der unzureichenden Sanitisierung von Benutzereingaben bei der HTML-Generierung von FTP-Verzeichnislistungen. Wenn FTP-Verzeichnisse über mod_proxy_ftp angeboten werden, werden Dateinamen und Verzeichnisangaben nicht korrekt in das HTML-Ausgabeformat escapt.
Ein Angreifer kann eine FTP-Datei oder ein Verzeichnis mit speziellen Zeichen (z.B. `<script>`) benennen. Beim Aufruf der Verzeichnisliste im Browser wird der unescapte Code interpretiert und ausgeführt. Dies ermöglicht Session-Hijacking, Credential-Diebstahl oder Malware-Verteilung.
Empfohlene Massnahmen
1. Sofort: Apache HTTP Server auf Version 2.4.68 oder höher aktualisieren. Ein Patch steht zur Verfügung.
2. Interim: Falls ein zeitnaher Patch nicht möglich ist, mod_proxy_ftp-Modul deaktivieren oder Zugriff auf FTP-Proxy-Funktionen durch Firewall-Regeln einschränken.
3. Monitoring: Logs auf verdächtige FTP-Anfragen mit speziellen Zeichen überwachen.
Bewertung
CVE-ID: CVE-2026-29170
CVSS-Score: 6.1 (Medium)
Angriffsvektor: Network
Authentifizierung: Nicht erforderlich
Der mittlere Schweregrad erfordert eine zeitnahe, aber nicht sofortige Behebung. Die Verfügbarkeit eines offiziellen Patches ermöglicht schnelle Abhilfe.
„`