Veel üks haavatavus Apache httpd-s, mis võimaldab pääseda ligipääsule veebisaidi juurkataloogist väljaspool.

Leiti uus rünnakusuund Apache http-serveril, mis jäi parandamata versioonis 2.4.50 ja võimaldab pääseda juurde failidele, mis asuvad saidi juurkatalooge väljaspool. Lisaks on teadlased leidnud võimaluse, mis, kui teatavaid ebatavalisi seadistusi on olemas, võimaldab mitte ainult lugeda süsteemifaile, vaid ka kaugelt oma koodi serveris käivitada. Probleem ilmneb ainult versioonides 2.4.49 ja 2.4.50, varasemad versioonid ei ole haavatavad. Uue haavatavuse kõrvaldamiseks on kiiresti välja antud Apache httpd 2.4.51 versioon.

Uue probleem (CVE-2021-42013) olemuselt on täiesti sarnane algsele haavatavusele (CVE-2021-41773) versioonis 2.4.49, ainus erinevus seisneb teistsuguses sümbolite koodimises "..". Eriti juhul, kui väljaandmisel 2.4.50 blokeeriti võimalus kasutada järjestust "" punkti koodimiseks, kuid kahekordse koodimise võimalus — järjestuse "" määramine — jäi tähelepanuta. server dekodeeris selle "", ja seejärel ".", st sümbolid "..\/" eelneva katalooge liikumiseks olid kodeeritavad kui ".%\/".

Mis puudutab haavatavuse ärakasutamist koodi käivitamise kaudu, siis on see võimalik mod_cgi aktiveerimise ja bausteed kasutamise korral, kus CGI-skripti käitamine on lubatud (näiteks, kui on aktiveeritud ScriptAlias direktiiv või on määratud ExecCGI lipp Options direktiivis). Rünnaku edukaks läbiviimiseks on samuti hädavajalik, et Apache seades oleks selgelt ette nähtud juurdepääs täitmise failide kataloogidele, nagu /bin, või juur FS «/». Kuna tavaliselt sellist juurdepääsu ei anta, on koodijõudlus rünnak väga harva rakendatav reaalsüsteemidele.

Samas jääb aktuaalseks rünnak, mille eesmärk on saada juurdepääs mis tahes süsteemifailide ja veebiskripte allikakoodide sisu, mis on lugejale kergesti ligipääsetav, kellega http-serverit käivitab. Sellise rünnaku teostamiseks piisab, kui saidil on kataloog, mis on seadistatud «Alias» või «ScriptAlias» direktiivide abil (DocumentRoot ei ole piisav), nagu «cgi-bin».

Näide exploiti, mis võimaldab käivitada utiliiti «id» serveris: curl ‘http:\/\/192.168.0.1\/cgi-bin\/.%\/\.%\/\.%\/\.%\/\.%\/bin\/sh’ —data ‘echo Content-Type: text\/plain; echo; id’ uid=1(daemon) gid=1(daemon) groups=1(daemon)

Näide eksploitidest, mis võimaldab lugeda sisu \/etc\/passwd ja ühte veebiskripti (skriptide koodi edastamiseks peab olema määratud kaust, mille kaudu on lubatud skriptid, läbi direktiivi „Alias“): curl ‘http:\/\/192.168.0.1\/cgi-bin\/.%\/\.%\/\.%\/\.%\/\.%\/etc\/passwd’ curl ‘http:\/\/192.168.0.1\/aliaseddir\/.%\/\.%\/\.%\/\.%\/\.%\/usr\/local\/apache2\/cgi-bin\/test.cgi’

Probleem mõjutab peamiselt pidevalt uuenevaid distributsioone, nagu Fedora, Arch Linux ja Gentoo, samuti FreeBSD sadamaid. Pakette konserveeritud serveri distribuutorites, nagu Debian, RHEL, Ubuntu ja SUSE, turvaaukudega ei seostata. Probleem ei ilmne, kui juurdepääs kataloogidele on selgelt keelatud seadistusega "require all denied".

Allikas: opennet.ru