Eine weitere Schwachstelle in Apache httpd, die den Zugriff außerhalb des Stammverzeichnisses der Website ermöglicht,

Ein neuer Angriff vektor auf den Apache HTTP-Server wurde gefunden, der im Update 2.4.50 unbehoben blieb und es ermöglicht, auf Dateien außerhalb des Wurzelverzeichnisses der Website zuzugreifen. Darüber hinaus haben Forscher eine Methode gefunden, die, unter bestimmten nicht standardmäßigen Einstellungen, nicht nur das Lesen von Systemdateien ermöglicht, sondern auch das Ausführen von eigenem Code auf dem Server aus der Ferne. Das Problem tritt nur in den Versionen 2.4.49 und 2.4.50 auf; frühere Versionen sind von der Schwachstelle nicht betroffen. Um die neue Variante der Schwachstelle zu beheben, wurde umgehend die Version Apache httpd 2.4.51 veröffentlicht.

Das neue Problem (CVE-2021-42013) ist im Wesentlichen identisch mit der ursprünglichen Schwachstelle (CVE-2021-41773) in 2.4.49, der einzige Unterschied liegt in einer anderen Kodierung der Zeichen „..“. Insbesondere wurde in Version 2.4.50 die Möglichkeit, die Sequenz „“ zur Kodierung eines Punkts zu verwenden, blockiert, jedoch wurde die Möglichkeit der doppelten Kodierung übersehen – bei Angabe der Sequenz „%“ Server dekodiert es zu „“, und dann zu „.“, d.h., die Zeichen „..\/“ für den Wechsel zum vorherigen Verzeichnis konnten als „.%\/“ kodiert werden.

Was die Ausnutzung der Schwachstelle durch die Ausführung von Code betrifft, so ist dies möglich, wenn mod_cgi aktiviert ist und ein Basisverzeichnis verwendet wird, in dem die Ausführung von CGI-Skripten erlaubt ist (z.B. wenn die Direktive ScriptAlias aktiviert ist oder das Flag ExecCGI in der Direktive Options angegeben ist). Eine Voraussetzung für einen erfolgreichen Angriff ist außerdem die ausdrückliche Gewährung von Zugriff auf Verzeichnisse mit ausführbaren Dateien, wie z.B. \/bin, oder Zugriff auf das Wurzel-Verzeichnis „\/“ in den Apache-Einstellungen. Da solche Zugriffe normalerweise nicht gewährt werden, ist ein Angriff durch Codeausführung in realen Systemen eher selten.

Jedoch bleibt der Angriff auf den Zugriff auf den Inhalt beliebiger Systemdateien und Quelltexte von Web-Skripten, die für den Benutzer, unter dem der HTTP-Server läuft, lesbar sind, weiterhin aktuell. Für einen solchen Angriff reicht es aus, ein Verzeichnis auf der Website zu haben, das mithilfe der Direktiven „Alias“ oder „ScriptAlias“ konfiguriert ist (DocumentRoot reicht nicht aus), wie z.B. „cgi-bin“.

Ein Beispiel für einen Exploit, der die Ausführung des Dienstprogramms „id“ ermöglicht auf Server: curl ‘http:\/\/192.168.0.1\/cgi-bin\/..%\/..%\/..%\/..%\/..%\/bin\/sh’ —data ‘echo Content-Type: text\/plain; echo; id’ uid=1(daemon) gid=1(daemon) groups=1(daemon)

Beispiel für Exploits, die das Auslesen des Inhalts von /etc/passwd und eines der Web-Skripte ermöglichen (für die Bereitstellung des Codes von Skripten als Basis muss ein bestimmtes Verzeichnis angegeben werden, das durch die Direktive „Alias“ definiert ist und in dem die Ausführung von Skripten nicht eingeschaltet ist): curl ‘http:\/\/192.168.0.1\/cgi-bin\/..%\/..%\/..%\/..%\/..%\/etc\/passwd’ curl ‘http:\/\/192.168.0.1\/aliaseddir\/..%\/..%\/..%\/..%\/..%\/usr\/local\/apache2\/cgi-bin\/test.cgi’

Das Problem betrifft hauptsächlich kontinuierlich aktualisierte Distributionen, wie Fedora, Arch Linux und Gentoo, sowie Ports von FreeBSD. Pakete in stabilen Zweigen konservativer Server-Distributionen wie Debian, RHEL, Ubuntu und SUSE sind nicht anfällig für diese Sicherheitslücke. Das Problem tritt nicht auf, wenn der Zugriff auf Verzeichnisse ausdrücklich durch die Einstellung „require all denied“ verboten wird.

Quelle: opennet.ru