Fastly Security Research Team

Am Montag, dem 18\. Juli 2016, veröffentlichten Sicherheitsexperten Informationen über eine Schwachstelle im Umgang mit der Umgebungsvariable HTTP_PROXY durch bestimmte CGI-Skripte (Common Gateway Interface). Obwohl Fastly nicht von dieser Schwachstelle betroffen ist, können Webserver, die als Origin-Server verwendet werden, eine Vielzahl von Skripten ausführen, von denen einige anfällig sein können. In diesem Sicherheitshinweis erfahren Sie, wie Sie Ihre Origin-Server vor Angriffen schützen können.

Zusammen mit einem OpenSSL-Sicherheitshinweis haben heute verschiedene Forscher eine neue Art von Angriff auf HTTPS bekannt gegeben, den sie „Decrypting RSA with Obsolete and Weakened Encryption“ oder auch DROWN, nennen. Aufgrund der bestehenden TLS-Konfiguration von Fastly sind unsere Services und Kunden, die Fastly als CDN nutzen, nicht anfällig für diesen Angriff.

Wir haben ein Problem in unserer Standard-TLS-Konfiguration (Transport Layer Security) behoben, das eine ordnungsgemäße Zertifikat-Validierung bei der Verbindung zu Origin-Servern von Kunden verhinderte. Services, die nach dem 6. September 2015 erstellt wurden, waren nicht betroffen. Dieser Hinweis beschreibt das Problem, um unsere Kunden über die potenzielle Gefährdung, die von uns vorgenommene Korrektur und zusätzliche Verbesserungen zu informieren. Der Schweregrad dieser Schwachstelle wurde von der Fastly Sicherheitsabteilung als HOCH eingestuft.

Am Dienstag, den 16. Februar, veröffentlichten Forscher Details über eine neue Schwachstelle in der glibc-Bibliothek, einer Standard-C-Bibliothek. Die Schwachstelle befand sich in dem Code, der zur Übersetzung von Hostnamen in IP-Adressen verwendet wurde. Prozesse, die diesen Code verwenden, sind bei Netzwerkdienstleistern, wie beispielsweise CDNs, sehr verbreitet. Fastly hat auf den betroffenen Systemen sofort ein Sicherheitsupdate implementiert. Ein Eingreifen des Kunden ist nicht erforderlich. Der Service von Fastly wurde nicht beeinträchtigt.