Haavatavus Apache 2.4.49 http-serveris, mis võimaldab ligipääsu failidele veebiregistri juurest väljaspool

Kiires korras on välja antud Apache 2.4.50 veebiserveri uuendus, mis kõrvaldab aktiivselt kuritarvitatava 0-päeva haavatavuse (CVE-2021-41773), mis võimaldab juurdepääsu failidele, mis asuvad väljaspool veebisaidi juurkatalooge. Selle haavatavuse abil on võimalik laadida juhuslikke süsteemifaile ja veebiskripti allikaid, millele on juurdepääs lugemiseks kasutajal, kelle all veebiserver töötab. Arendajaid teavitati probleemist juba 17. septembril, kuid nad suutsid uuenduse välja anda alles täna, pärast seda, kui internetis on registreeritud juhtumeid haavatavuse kasutamisest rünnakutes veebisaitide vastu.

Haavatavuse oht on leevendatud, kuna probleem ilmneb ainult hiljuti väljastatud 2.4.49 versioonis ja see ei mõjuta varasemaid versioone. Konservatiivsete serveridistroode stabiilsetes harudes ei ole 2.4.49 veel kasutusele võetud (Debian, RHEL, Ubuntu, SUSE), kuid probleem on mõjutanud pidevalt uuendatavaid distroosid, nagu Fedora, Arch Linux ja Gentoo, samuti FreeBSD porti.

Haavatavus on põhjustatud veast, mis tehti koodi täiustamise käigus URI-de normaliseerimiseks. Selle tõttu ei normaliseerunud piiratud ei ole koditud punkt (), kui sellele eelnes teine punkt. Seega oli võimalik sisestada puhastamata sümboleid "..\/" lõpptee, määrates päringus jada «.\/». Näiteks päring nagu «https:\/\/example.com\/cgi-bin\/.\/.\/.\/.\/etc\/passwd» või «https:\/\/example.com\/cgi-bin\/.\/\/\/\/etc\/hosts» lubas juurdepääsu failile «\/etc\/passwd».

Probleem ei ilmne, kui juurdepääs kataloogidele on selgelt keelatud seadega «require all denied». Näiteks osalise kaitse saavutamiseks võib konfiguratsioonifailis määrata: require all denied

Apache httpd 2.4.50 versioonis on samuti kõrvaldatud veel üks haavatavus (CVE-2021-41524), mis puudutab HTTP\/2 protokolli rakendust. Haavatavus võimaldas spetsiaalselt vormindatud päringu saatmise kaudu algatada nullviidiku de-referentseerimise ja protsessi krahhi. See haavatavus ilmneb samuti ainult versioonis 2.4.49. Kaitse alternatiivina võib välja lülitada HTTP\/2 protokolli toe.

Allikas: opennet.ru