{"id":101551,"date":"2021-10-06T04:22:36","date_gmt":"2021-10-06T02:22:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-http-servere-apache-2-4-49-pozvolyayushhaya-poluchit-fajly-vne-kornya-sajta"},"modified":"2021-10-06T04:22:36","modified_gmt":"2021-10-06T02:22:36","slug":"uyazvimost-v-http-servere-apache-2-4-49-pozvolyayushhaya-poluchit-fajly-vne-kornya-sajta","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-http-servere-apache-2-4-49-pozvolyayushhaya-poluchit-fajly-vne-kornya-sajta","title":{"rendered":"Sicherheitsanf\u00e4lligkeit im HTTP-Server Apache 2.4.49, die den Zugriff auf Dateien au\u00dferhalb des Wurzelverzeichnisses der Website erm\u00f6glicht.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In dringendem Zusammenhang wurde ein Update des HTTP-Servers Apache 2.4.50 erstellt, das eine bereits aktiv ausgenutzte 0-Day-Sicherheitsanf\u00e4lligkeit (CVE-2021-41773) behebt, die den Zugriff auf Dateien aus Bereichen au\u00dferhalb des Wurzelverzeichnisses der Website erm\u00f6glichte. Mithilfe dieser Sicherheitsanf\u00e4lligkeit konnten beliebige Systemdateien und Quelltexte von Web-Skripten heruntergeladen werden, die f\u00fcr den Benutzer, unter dem der HTTP-Server l\u00e4uft, lesbar waren. Die Entwickler wurden am 17. September \u00fcber das Problem informiert, konnten jedoch erst heute nachweisen, dass im Internet F\u00e4lle des Missbrauchs der Sicherheitsanf\u00e4lligkeit zur Angriffe auf Websites aufgetreten sind. <\/p>\n
Die Gef\u00e4hrlichkeit der Sicherheitsanf\u00e4lligkeit wird dadurch gemindert, dass das Problem nur in der neu ver\u00f6ffentlichten Version 2.4.49 auftritt und nicht alle fr\u00fcheren Versionen betrifft. In stabilen Ver\u00e4stelungen konservativer Server-Distributionen wurde Version 2.4.49 noch nicht verwendet (Debian, RHEL, Ubuntu, SUSE), aber das Problem betraf kontinuierlich aktualisierte Distributionen wie Fedora, Arch Linux und Gentoo sowie Ports von FreeBSD. <\/p>\n
Die Schwachstelle wurde durch einen Fehler verursacht, der w\u00e4hrend der \u00dcberarbeitung des Codes zur Normalisierung von Pfaden in URIs unterlaufen ist. Dadurch wurde der mittels der Sequenz «» kodierte Punkt im Pfad nicht normalisiert, wenn ihm ein anderer Punkt voranging. So war es m\u00f6glich, unsichere Zeichen «../» durch Angabe der Sequenz «./» in den resultierenden Pfad einzuschleusen. Beispielsweise erlaubte eine Anfrage wie «https://example.com/cgi-bin/././././etc/passwd» oder «https://example.com/cgi-bin/.////etc/hosts» den Zugriff auf den Inhalt der Datei «/etc/passwd» oder «/etc/hosts» zu erm\u00f6glichen. <\/p>\n
Das Problem tritt nicht auf, wenn der Zugriff auf Verzeichnisse explizit durch die Einstellung «require all denied» verweigert wird. Beispielsweise kann zur teilweisen Sicherung in der Konfigurationsdatei folgende Anweisung angegeben werden: <Directory /> require all denied </Directory> <\/p>\n
In der Version Apache httpd 2.4.50 wurde auch eine weitere Sicherheitsanf\u00e4lligkeit (CVE-2021-41524) behoben, die das Modul f\u00fcr die Implementierung des Protokolls HTTP\\\/2 betrifft. Die Sicherheitsanf\u00e4lligkeit erm\u00f6glichte durch das Senden einer speziell gestalteten Anfrage die Dereferenzierung eines Nullzeigers und f\u00fchrte zum Absturz des Prozesses. Diese Sicherheitsanf\u00e4lligkeit tritt ebenfalls nur in Version 2.4.49 auf. Als Umgehung zur Sicherheit kann die Unterst\u00fctzung f\u00fcr das Protokoll HTTP\\\/2 deaktiviert werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"