NCSC waarschuwt voor kritiek lek Apache-webserver

Apache HTTP Server wordt wereldwijd ingezet voor het hosten en draaien van websites en webapplicaties. De getroffen modules mod_http2 en mod_h2 zijn verantwoordelijk voor het afhandelen van het HTTP/2-protocol, waarmee dataverkeer tussen servers en bezoekers sneller en efficiënter verloopt. Alleen webservers waarop ondersteuning voor HTTP/2 via deze specifieke modules is ingeschakeld, lopen risico. Concreet gaat het om versie 2.4.55 tot en met 2.4.70 van mod_http2 en versie 2.0.8 tot en met 2.0.42 van mod_h2.

Het beveiligingslek stelt kwaadwillenden in staat om zonder geldige inloggegevens op afstand eigen computercode op een kwetsbare server uit te voeren. Wanneer een organisatie nalaat de updates door te voeren, kan een aanvaller de volledige controle over de server overnemen. Dit opent de deur naar het buitmaken of manipuleren van gevoelige gegevens, het verstoren of platleggen van websites en webapplicaties, of het misbruiken van de gecompromitteerde server als springplank voor verdere digitale aanvallen.

Apache heeft inmiddels patches beschikbaar gesteld die het lek dichten. Beheerders en IT-beslissers wordt aangeraden hun webservers direct te controleren op de aanwezigheid van de kwetsbare moduleversies en de aanbevolen maatregelen van het NCSC op te volgen. Organisaties die het beheer van hun webomgeving hebben uitbesteed of twijfelen of zij gebruikmaken van de getroffen softwareversies, doen er verstandig aan om direct contact op te nemen met hun IT-dienstverlener.