Een instelling van de webserversoftware Apache kan ervoor zorgen dat informatie van Tor-servers lekt, zo waarschuwt een beveiligingsonderzoeker. Voor het opzetten van een server op het Tor-netwerk kan Apache worden gebruikt. In veel gevallen wordt Apache geleverd met een feature genaamd 'mod_status'.

Het is een pagina die allerlei statistieken weergeeft, zoals uptime, verkeer, ingeschakelde virtuele hosts en actieve http-verzoeken. Het is standaard alleen toegankelijk voor localhost. De Tor-software draait echter op localhost. Daardoor is de statuspagina van de Tor-server via het internet toegankelijk. Volgens de onderzoeker zou een aanvaller in dit geval gevoelige requests kunnen monitoren, de lengtegraad van de server kunnen bepalen als de tijdszone is ingesteld en mogelijk zelfs het ip-adres achterhalen als een clearnet Virtual Host aanwezig is.

De afgelopen maanden ontdekte de onderzoeker verschillende servers waar de statuspagina toegankelijk was, waaronder een populaire Tor-zoekmachine. Beheerders krijgen dan ook het advies om hun instellingen goed na te lopen. "Het is eigenlijk te gek voor woorden dat een eenvoudige servermisconfiguratie zo gevaarlijk is. Vergeet zero-days, verkeersanalyse en crypto-aanvallen: het zijn dit soort eenvoudige fouten die het meest pijn kunnen doen."