Бързо бе издадено обновление за http-сървера Apache 2.4.50, в което е поправена активно експлоатирана 0-day уязвимост (CVE-2021-41773), позволяваща достъп до файлове извън кореновата директория на сайта. Чрез уязвимостта могат да се заредят произволни системни файлове и изходни кодове на уеб скриптове, достъпни за четене от потребителя, под който работи http-сървера. Разработчиците бяха уведомени за проблема още на 17 септември, но успяха да пуснат обновлението едва днес, след като в мрежата бяха регистрирани случаи на използване на уязвимостта за атака на сайтове.
Опасността от уязвимостта е намалена, тъй като проблемът се проявява само в наскоро издадената версия 2.4.49 и не засяга по-ранни версии. В стабилните версии на консервативни сървърни дистрибуции версия 2.4.49 все още не е била използвана (Debian, RHEL, Ubuntu, SUSE), но проблемът е засегнал непрекъснато обновяващите се дистрибуции, като Fedora, Arch Linux и Gentoo, а също и портовете на FreeBSD.
Уязвимостта е предизвикана от грешка, направена по време на преработката на кода за нормализиране на пътищата в URI, поради която закодираният с последователността «» символ на точка в пътя не се нормализира, ако пред него е имало друга точка. Така подмяната на неочистени символи «..\/» в резултатния път стана възможна чрез указването в заявката на последователността «.\/». Например, заявка от вида «https://example.com/cgi-bin/././././etc/passwd» или «https://example.com/cgi-bin/.////etc/hosts» позволи достъп до съдържанието на файла «/etc/passwd».
Проблемът не се проявява, ако достъпът до директориите е явно забранен с настройката "require all denied". Например, за частична защита можете да зададете в конфигурационния файл: <Directory \/> require all denied <\/Directory>
В версия Apache httpd 2.4.50 е поправена и още една уязвимост (CVE-2021-41524), засягаща модула за протокол HTTP\/2. Уязвимостта позволява чрез изпращане на специално оформена заявка да се инициира разыменоване на нулев указател и да се предизвика срив на процеса. Тази уязвимост също се проявява само в версия 2.4.49. Като обходен маршрут за защита можете да деактивирате поддръжката на протокол HTTP\/2.
Източник: opennet.ru
