Et akut opdatering af http-serveren Apache 2.4.50 er blevet udført, som udbedrer en aktivt udnyttet 0-dages sårbarhed (CVE-2021-41773), der tillader adgang til filer uden for rodkataloget på webstedet. Gennem sårbarheden er det muligt at uploade vilkårlige systemfiler og kildekoder til web-scripts, der er læselige for den bruger, under hvilken http-serveren kører. Udviklerne blev underrettet om problemet den 17. september, men kunne først frigive opdateringen i dag, efter at der var blevet registreret tilfælde af udnyttelse af sårbarheden til angreb på websteder.
Fare for sårbarheden mildnes af det faktum, at problemet kun optræder i den nyudgivne version 2.4.49 og ikke påvirker tidligere versioner. I de stabile grene af konservative serverdistributionsversioner er version 2.4.49 stadig ikke blevet brugt (Debian, RHEL, Ubuntu, SUSE), men problemet har påvirket konstant opdaterede distributioner som Fedora, Arch Linux og Gentoo, samt ports i FreeBSD.
Sårbarheden skyldes en fejl, der opstod under omarbejdningen af koden til normalisering af stier i URI, hvilket betød, at det kodede punkttegn «» i stien ikke blev normaliseret, hvis det blev forudgået af et andet punkttegn. Dette gjorde det muligt at indsætte ukorrekte tegn «..\/» i den resulterende sti ved at angive sekvensen «.\/» i anmodningen. For eksempel gav anmodninger som «https:\/\/example.com\/cgi-bin\/.\/.\/.\/.\/etc\/passwd» eller «https:\/\/example.com\/cgi-bin\/.\/\/ \/ \/etc\/hosts» adgang til indholdet af filen «\/etc\/passwd».
Problemet optræder ikke, hvis adgangen til mapper eksplicit er afvist ved hjælp af indstillingen 'require all denied'. For eksempel, til delvis beskyttelse kan følgende angives i konfigurationsfilen: require all denied
I version Apache httpd 2.4.50 er en anden sårbarhed (CVE-2021-41524) også blevet udbedret, som påvirker modulet med implementeringen af protokollen HTTP/2. Sårbarheden tillod, ved at sende en specielt udformet anmodning, at initiere dereferering af en nulpointer og forårsage et procesnedbrud. Denne sårbarhed optræder også kun i version 2.4.49. Som en midlertidig beskyttelsesmetode kan understøttelse af protokollen HTTP/2 deaktiveres.
Kilde: opennet.ru
