Veel üks haavatavust Apache httpd, mis võimaldab pääseda ligi veebisaidi juurkataloogist väljapoole.

Avastatud uut rünnakusuunda Apache HTTP-serverile, mis jäi parandamata versioonis 2.4.50 ja lubab pääseda ligi failidele, mis asuvad veebisaidi juurkataloogist väljapoole. Lisaks leidsid teadlased viisi, mis võimaldab teatud ebatavaliste seadistuste korral mitte ainult süsteemifaile lugeda, vaid ka serveris oma koodi kaugelt käivitada. Probleem avaldub ainult versioonides 2.4.49 ja 2.4.50; varasemad versioonid ei ole haavatavad. Uue haavatavuse variandi kõrvaldamiseks on kiiresti välja antud versioon Apache httpd 2.4.51.

Uus probleem (CVE-2021-42013) on oma olemuselt täielikult analoogne algsele haavatavusele (CVE-2021-41773) versioonis 2.4.49, erinevus seisneb vaid sümbolite „..“ erinevas kodeeringus. Eelkõige versioonis 2.4.50 blokeeriti võimalus kasutada järjestust „“ punktide kodeerimiseks, kuid jäi vahele kahekordse kodeerimise võimalus — määrates järjestuse „%“. server dekoodeeris see „“ ja siis „.“, st sümboleid „../“ eelnevale kataloogile sisenemiseks võis kodeerida kui „.%/“.

Kuna haavatavuse kasutamine koodide täitamiseks on võimalik ainult mod_cgi aktiveerimise ja põhitee kasutamise korral, kus CGI-skripti täitmine on lubatud (näiteks kui on aktiveeritud ScriptAlias direktiiv või ExecCGI lipp Options direktiivis). Eduka rünnaku jaoks on samuti vajalik selge juurdepääs Apache seadetesse täidesaatavatele failikaustadele, nagu /bin, või juur FS-le "/". Kuna tavaliselt sellist juurdepääsu ei anta, on koodide täitmise rünnak reaalsetes süsteemides vähe rakendatav.

Sellest hoolimata on jätkuvalt aktuaalne rünnak, mis võimaldab pääseda ligi mis tahes süsteemi failide ja veebiskriptide lähtekoodide sisule, mis on loetavad kasutajale, kelle alt HTTP-server töötab. Selle rünnaku teostamiseks piisab, kui sait sisaldab katalooge, mis on seadistatud Alias või ScriptAlias direktiivide abil (DocumentRoot ei piisa), nagu "cgi-bin".

Näide eksploitist, mis võimaldab täita utiliiti "id" aadressil serveril: curl ‘http://192.168.0.1/cgi-bin/.%/.%/.%/.%/.%/bin/sh’ —data ‘echo Content-Type: text/plain; echo; id’ uid=1(daemon) gid=1(daemon) groups=1(daemon)

Näide eksploitidest, mis võimaldavad kuvada sisu /etc/passwd ja ühte veebiskripti (skripti koodi kuvamiseks peab olema määratud teatud direktor, mille kaudu skriptide käitamine ei ole lubatud): curl ‘http://192.168.0.1/cgi-bin/.%/.%/.%/.%/.%/etc/passwd’ curl ‘http://192.168.0.1/aliaseddir/.%/.%/.%/.%/.%/usr/local/apache2/cgi-bin/test.cgi’

Probleem puudutab peamiselt pidevalt uuendatavaid jaotusi, nagu Fedora, Arch Linux ja Gentoo, samuti FreeBSD pordid. Stabiilsete harude paketid konservatiivsetes serveri jaotustes, nagu Debian, RHEL, Ubuntu ja SUSE, ei ole haavatavad. Probleem ei esine, kui kaustadele on juurdepääs selgelt keelatud seadistuse „require all denied“ abil.

Allikas: opennet.ru