Byla rychle vydána aktualizace http serveru Apache 2.4.50, která odstraňuje již aktivně zneužívanou 0-day zranitelnost (CVE-2021-41773), jež umožňuje přístup k souborům z oblastí mimo kořenový adresář webu. Pomocí této zranitelnosti lze nahrát libovolné systémové soubory a zdrojové kódy webových skriptů, které jsou čitelné pro uživatele, pod kterým je spuštěn http server. Vývojáři byli na problém upozorněni již 17. září, ale aktualizaci se podařilo vydat až dnes, poté co byly na internetu zaznamenány případy zneužití této zranitelnosti pro útoky na weby.
Nebezpečnost zranitelnosti zmírňuje to, že problém se projevuje pouze v nedávno vydané verzi 2.4.49 a netýká se všech předchozích vydání. Stabilní větve konzervativních serverových distribucí verzi 2.4.49 ještě nevyužívaly (Debian, RHEL, Ubuntu, SUSE), ale problém zasáhl kontinuálně aktualizované distribuce, jako jsou Fedora, Arch Linux a Gentoo, stejně jako porty FreeBSD.
Zranitelnost je způsobena chybou, která vznikla během přepracování kódu pro normalizaci cest v URI, v důsledku které se zakódovaný znak tečky pomocí sekvence „“ v cestě normalizoval, pokud mu předcházela další tečka. Tímto způsobem byla umožněna substituce nevyčištěných znaků „..\/“ do výsledné cesty prostřednictvím specifikace sekvence „.\/“ v požadavku. Například požadavek typu „https:\/\/example.com\/cgi-bin\/.\/.\/.\/.\/etc\/passwd“ nebo „https:\/\/example.com\/cgi-bin\/.\/\/\\/\\/etc\/hosts“ umožňoval získání obsahu souboru „\/etc\/passwd“.
Problém se neprojevuje, pokud je přístup k adresářům výslovně zakázán pomocí nastavení "require all denied". Například pro částečnou ochranu lze v konfiguračním souboru uvést: <Directory \/> require all denied <\/Directory>
Ve verzi Apache httpd 2.4.50 byla také odstraněna další zranitelnost (CVE-2021-41524), která se týkala modulu implementujícího protokol HTTP\/2. Zranitelnost umožnila zasláním speciálně formátovaného požadavku iniciovat dereferencování nulového ukazatele a způsobit pád procesu. Tato zranitelnost se také projevuje pouze ve verzi 2.4.49. Jako obranou metodou lze vypnout podporu protokolu HTTP\/2.
Zdroj: opennet.ru
