Apache HTTP Server: Integer-Überlauf in mod_dav_fs (WebDAV)
Zusammenfassung
Ein Integer-Überlauf im WebDAV-Modul mod_dav_fs von Apache HTTP Server bis 2.4.68 kann von einem authentifizierten WebDAV-Client mit Schreibzugriff ausgelöst werden. Über PROPPATCH-Anfragen, die viele XML-Namespaces deklarieren, kann ein Angreifer Worker-Prozesse zum Absturz bringen und die Property-Datenbank eines Verzeichnisses dauerhaft beschädigen. Server ohne mod_dav_fs oder ohne schreibbare WebDAV-Freigaben sind nicht betroffen.
Betroffen
- Apache HTTP Server bis 2.4.68 (Standardkonfiguration: nicht betroffen)
- Nur dort, wo mod_dav_fs geladen ist und WebDAV mit Schreibzugriff aktiviert ist
Behoben in
- Apache HTTP Server 2.4.69 (veröffentlicht am 01.10.2026)
- Distributionspakete: Status der Hersteller für Ihre Plattform prüfen (der Status variiert, z. B. Debian sid behoben; Ubuntu, SUSE und weitere Releases zum Zeitpunkt der Recherche ausstehend)
Umgehung
- mod_dav_fs (dav_fs_module) deaktivieren, falls WebDAV nicht benötigt wird
- Alternativ die PROPPATCH-Methode für das betroffene Directory oder Location blockieren; die Dateifreigabe bleibt erhalten, Eigenschaftsänderungen sind aber nicht mehr möglich
- Schreibzugriff auf WebDAV-Collections auf die benötigten Benutzer beschränken
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- CISA-SSVC-Bewertung: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept in der Recherche gefunden (nicht abschliessend).
Unsere Empfehlung
- Mit httpd -M (oder gleichwertig) prüfen, ob dav_fs_module geladen ist und wo WebDAV veröffentlicht wird.
- Falls WebDAV nicht genutzt wird, mod_dav_fs jetzt deaktivieren.
- Falls WebDAV benötigt wird, auf 2.4.69 oder das fixierte Paket der Distribution aktualisieren; bis dahin PROPPATCH und Schreibzugriff einschränken.
- WebDAV-Konten und deren Schreibrechte überprüfen.
- Hinweis: Die Bewertungen unterscheiden sich je nach Quelle (CVSS 8.8 vom CNA; tiefere Werte bei einigen Distributionen); die reale Auswirkung liegt wahrscheinlich eher bei Verfügbarkeit und Integrität als bei einer vollständigen Kompromittierung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Apache HTTP Server 2.4 vulnerabilities httpd.apache.org
- oss-security: CVE-2026-93546 www.openwall.com
- Debian Security Tracker security-tracker.debian.org
- Red Hat CVE page access.redhat.com
- Ubuntu CVE page ubuntu.com
- SUSE CVE page www.suse.com
- Amazon Linux ALAS explore.alas.aws.amazon.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:56.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.