Apache httpd-এ আরেকটি দুর্বলতা যা সাইটের রুট ডিরেক্টরির বাইরে অ্যাক্সেসের অনুমতি দেয়

Apache HTTP সার্ভারের জন্য একটি নতুন অ্যাটাক ভেক্টর পাওয়া গেছে, যা আপডেট 2.4.50 এ অপরিশোধিত রয়ে গেছে এবং সাইটের রুট ডিরেক্টরির বাইরের অঞ্চল থেকে ফাইলগুলিতে অ্যাক্সেসের অনুমতি দেয়। উপরন্তু, গবেষকরা একটি পদ্ধতি খুঁজে পেয়েছেন যা কিছু অ-মানক সেটিংসের উপস্থিতিতে, শুধুমাত্র সিস্টেম ফাইলগুলি পড়তেই নয়, সার্ভারে দূরবর্তীভাবে তাদের কোড চালানোর অনুমতি দেয়। সমস্যাটি শুধুমাত্র 2.4.49 এবং 2.4.50 রিলিজে দেখা যায়; আগের সংস্করণগুলি প্রভাবিত হয় না। নতুন দুর্বলতা দূর করতে, Apache httpd 2.4.51 দ্রুত প্রকাশ করা হয়েছিল।

এর মূলে, নতুন সমস্যা (CVE-2021-42013) 2021-এর মূল দুর্বলতার (CVE-41773-2.4.49) সাথে সম্পূর্ণ মিল, একমাত্র পার্থক্য হল “..” অক্ষরের আলাদা এনকোডিং। বিশেষ করে, রিলিজ 2.4.50-এ একটি পয়েন্ট এনকোড করার জন্য ক্রম "%2e" ব্যবহার করার ক্ষমতা অবরুদ্ধ করা হয়েছিল, কিন্তু ডবল এনকোডিংয়ের সম্ভাবনা মিস করা হয়েছিল - যখন "%%32%65" ক্রমটি নির্দিষ্ট করার সময়, সার্ভার এটিকে ডিকোড করে "%2e" তে এবং তারপরে "." তে, যেমন পূর্ববর্তী ডিরেক্টরিতে যাওয়ার জন্য "../" অক্ষরগুলি ".%%32%65/" হিসাবে এনকোড করা যেতে পারে।

কোড এক্সিকিউশনের মাধ্যমে দুর্বলতাকে কাজে লাগানোর জন্য, এটি সম্ভব যখন mod_cgi সক্রিয় করা হয় এবং বেস পাথ ব্যবহার করা হয় যেখানে CGI স্ক্রিপ্টগুলি সম্পাদন করার অনুমতি দেওয়া হয় (উদাহরণস্বরূপ, যদি ScriptAlias ​​নির্দেশ সক্রিয় করা থাকে বা ExecCGI পতাকা নির্দিষ্ট করা থাকে বিকল্প নির্দেশিকা)। একটি সফল আক্রমণের জন্য একটি বাধ্যতামূলক প্রয়োজনীয়তা হল এক্সিকিউটেবল ফাইলগুলি, যেমন /bin, অথবা Apache সেটিংসে ফাইল সিস্টেম রুট "/"-এর অ্যাক্সেস সহ ডিরেক্টরিগুলিতে স্পষ্টভাবে অ্যাক্সেস প্রদান করা। যেহেতু এই ধরনের অ্যাক্সেস সাধারণত মঞ্জুর করা হয় না, কোড এক্সিকিউশন আক্রমণের বাস্তব সিস্টেমে খুব কম প্রয়োগ থাকে।

একই সময়ে, নির্বিচারে সিস্টেম ফাইলের বিষয়বস্তু এবং ওয়েব স্ক্রিপ্টের উৎস টেক্সট পাওয়ার আক্রমণ, যে ব্যবহারকারীর অধীনে HTTP সার্ভার চলছে তার দ্বারা পাঠযোগ্য, প্রাসঙ্গিক থেকে যায়। এই ধরনের আক্রমণ চালানোর জন্য, সাইটের "অ্যালিয়াস" বা "স্ক্রিপ্টআলিয়াস" নির্দেশাবলী (ডকুমেন্টরুট যথেষ্ট নয়), যেমন "cgi-bin" ব্যবহার করে কনফিগার করা একটি ডিরেক্টরি থাকা যথেষ্ট।

একটি শোষণের একটি উদাহরণ যা আপনাকে সার্ভারে "আইডি" ইউটিলিটি চালানোর অনুমতি দেয়: কার্ল 'http://192.168.0.1/cgi-bin/.%%32%65/.%%32%65/.%% 32%65/.%% 32%65/.%%32%65/bin/sh' —ডেটা 'ইকো কনটেন্ট-টাইপ: টেক্সট/প্লেইন; প্রতিধ্বনি id' uid=1(ডেমন) gid=1(ডেমন) গ্রুপ=1(ডেমন)

শোষণের একটি উদাহরণ যা আপনাকে /etc/passwd এবং ওয়েব স্ক্রিপ্টগুলির একটির বিষয়বস্তু প্রদর্শন করতে দেয় (স্ক্রিপ্ট কোড আউটপুট করতে, "অ্যালিয়াস" নির্দেশের মাধ্যমে সংজ্ঞায়িত ডিরেক্টরি, যার জন্য স্ক্রিপ্ট এক্সিকিউশন সক্ষম নয়, অবশ্যই নির্দিষ্ট করা উচিত বেস ডিরেক্টরি হিসাবে): curl 'http://192.168.0.1 .32/cgi-bin/.%%65%32/.%%65%32/.%%65%32/.%%65%32/.% %65%192.168.0.1/etc/passwd' curl 'http://32/aliaseddir/.%%65%32/.%%65%32/.%%65%32/.%%65%32/। %%65%2/usr/local/apacheXNUMX/cgi -bin/test.cgi'

সমস্যাটি মূলত ফেডোরা, আর্চ লিনাক্স এবং জেন্টু, সেইসাথে FreeBSD-এর পোর্টের মতো ক্রমাগত আপডেট হওয়া বিতরণগুলিকে প্রভাবিত করে। রক্ষণশীল সার্ভার ডিস্ট্রিবিউশন ডেবিয়ান, RHEL, উবুন্টু এবং SUSE এর স্থিতিশীল শাখার প্যাকেজগুলি দুর্বলতার দ্বারা প্রভাবিত হয় না। "সমস্ত অস্বীকার করা প্রয়োজন" সেটিং ব্যবহার করে ডিরেক্টরিতে অ্যাক্সেস স্পষ্টভাবে অস্বীকার করা হলে সমস্যাটি ঘটবে না।

উত্স: opennet.ru