Websites herunterladen, die mod_auth_pam nutzen

Über mod_auth_pam

Servermodule sind der Teil eines Stacks, den eine Website eigentlich nicht zur Schau stellen soll. mod_auth_pam ist ein Apache-Modul, das die Authentifizierung an das Betriebssystem übergibt. Eine Anfrage nach einer geschützten Seite wird so gegen dieselbe Identitätsinfrastruktur geprüft, die auch Shell-Konten verwaltet, in der Praxis also gegen Unix-Benutzer, einen Verzeichnisdienst oder einen Kerberos-Realm statt gegen eine Tabelle mit Web-Passwörtern.

Der Grund für den Einsatz ist administrativ, nicht technisch. Eine Organisation mit einer einzigen maßgeblichen Quelle für Identitäten will keine zweite innerhalb einer Webanwendung, und das Modul existiert, damit kein paralleler Passwortspeicher gepflegt werden muss. Dieses Muster gehört weit eher zu Intranets, internen Tools, Admin-Panels und Hochschulsystemen als zu kommerziellen Websites. Ein Treffer verrät daher oft, dass die Domain eigentlich überhaupt kein öffentliches Produkt ist.

Das Alter spielt hier eine Rolle. Das Modul stammt aus dem Jahr 1998, ist in C geschrieben, steht unter der Lizenz GPL v2 und ist seit langer Zeit praktisch eingefroren. Eine Authentifizierungskomponente, die im Anfragepfad liegt und keine Aufmerksamkeit mehr bekommt, ist schon für sich ein sicherheitsrelevanter Befund, ganz unabhängig davon, ob sie auf einem bestimmten Host je falsch konfiguriert war.

Die Erkennung beruht auf Rückschlüssen, und der Vorbehalt ist groß. Ein Server gibt seine Modulliste nur preis, wenn er gesprächig konfiguriert ist, etwa über ausführliche Server-Tokens, einen offen erreichbaren Status-Handler oder eine Standard-Fehlerseite, die niemand ersetzt hat, und jede Härtungsanleitung der letzten Jahre rät Administratoren, genau das abzuschalten. Stand Oktober 2026 erfassen wir mod_auth_pam auf 1.260 Hosts, und der sichtbare Bestand ist deshalb zugunsten von Maschinen verzerrt, die gesprächig geblieben sind, nicht zugunsten einer bestimmten Art von Organisation. Unsere Versionsdaten sind entsprechend dünn: insgesamt 2 verschiedene Strings, gehäuft bei Version 1.1.1, und genau so sieht Software meist aus, die nicht mehr weiterentwickelt wird.

Für eine Bestandsaufnahme der Angriffsfläche ist diese Verzerrung nicht fatal. Ein Forschungsteam, das ältere Apache-Installationen kartiert, ein Anbieter, der die Migration weg von einem ungepflegten Authentifizierungspfad verkauft, und ein Sicherheitsteam, das prüft, ob irgendetwas in der eigenen Infrastruktur Webzugriffe noch an Systemkonten bindet, wollen alle dasselbe: die vollständige Menge der Hosts, auf denen das Modul sichtbar ist, zusammen mit dem übrigen Stack hinter jedem einzelnen davon. In unserem Katalog ist der Eintrag in der Kategorie Web server extensions abgelegt und gehört zu den wenigen Fingerabdrücken, die beschreiben, wie eine Website entscheidet, wer Sie sind. Eine Abfrage zu einem einzelnen Hostnamen kann kein Muster zeigen, das nur in der Gesamtschau existiert.