Apache HTTP Server: Fehlerhafte Rechteverwaltung in mod_ssl SSLRequire
Zusammenfassung
Das Modul mod_ssl von Apache HTTP Server 2.4.0 bis 2.4.68 setzt die Rechte für SSLRequire-Ausdrücke mit dateibezogenen Funktionen nicht korrekt durch. Ein Angreifer, der .htaccess-Dateien in einem Verzeichnis schreiben kann, in dem SSLRequire-Überschreibungen aktiviert sind, kann diese Ausdrücke nutzen, um Dateien mit den Rechten des httpd-Prozesses zu lesen, wodurch sensible Informationen offengelegt werden können. Die NVD bewertet die Schwachstelle mit 9.8 (kritisch), Apache stuft sie jedoch als gering ein, und das Risiko beschränkt sich auf diese spezifische Konfiguration.
Betroffen
- Apache HTTP Server 2.4.0 bis 2.4.68
- Standardkonfiguration: nicht betroffen
- Nur betroffen, wenn SSLRequire in .htaccess-Dateien verwendet werden kann (AllowOverride)
Behoben in
- Apache HTTP Server 2.4.69 (behoben in 2.4.x mit Revision r1938672)
- Distributionspakete: Unbekannt, beim Hersteller prüfen (Debian bookworm und trixie sind im Tracker noch als verwundbar aufgeführt)
Umgehung
- Nicht vertrauenswürdigen Benutzern die Verwendung von SSLRequire in .htaccess-Dateien untersagen
- Wo keine Überschreibungen auf Verzeichnisebene benötigt werden, diese in der vertrauenswürdigen Serverkonfiguration für jedes betroffene Verzeichnis deaktivieren
- Benötigte .htaccess-Einstellungen zuerst in die Serverkonfiguration übernehmen, danach die Konfiguration validieren und Apache neu laden
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; in den geprüften Quellen nicht als aktiv ausgenutzt aufgeführt
- Kein öffentlicher Proof of Concept bekannt
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
- EPSS 0.0052 zum Zeitpunkt des Vulners-Eintrags
Unsere Empfehlung
- Auf Apache HTTP Server 2.4.69 im regulären Patch-Zyklus aktualisieren; das Release behebt zudem 19 weitere CVEs
- Bis zur Aktualisierung AllowOverride auf Verzeichnissen einschränken, die dies nicht benötigen, und nicht vertrauenswürdigen Benutzern das Schreiben von .htaccess-Dateien untersagen
- Prüfen, ob auf den Servern SSLRequire in .htaccess-Dateien verwendet wird
- Distributionspakete auf nachträglich eingespielte Fixes prüfen, bevor man sich darauf verlässt
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache HTTP Server 2.4 vulnerabilities httpd.apache.org
- oss-security post CVE-2026-59797 www.openwall.com
- Red Hat CVE page CVE-2026-59797 access.redhat.com
- Debian security tracker CVE-2026-59797 security-tracker.debian.org
- CCB Belgium advisory (secondary) ccb.belgium.be
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:35.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.