Veel üks haavatavus Apache httpd-s, mis võimaldab pääseda ligipääsule veebisaidi juurkataloogist väljaspool.

Leiti uus rünnakusuund Apache http-serveril, mis jäi parandamata versioonis 2.4.50 ja võimaldab pääseda juurde failidele, mis asuvad saidi juurkatalooge väljaspool. Lisaks on teadlased leidnud võimaluse, mis, kui teatavaid ebatavalisi seadistusi on olemas, võimaldab mitte ainult lugeda süsteemifaile, vaid ka kaugelt oma koodi serveris käivitada. Probleem ilmneb ainult versioonides 2.4.49 ja 2.4.50, varasemad versioonid ei ole haavatavad. Uue haavatavuse kõrvaldamiseks on kiiresti välja antud Apache httpd 2.4.51 versioon.

Uue probleemi (CVE-2021-42013) olemus on täielikult sarnane algsele haavatavusele (CVE-2021-41773) versioonis 2.4.49, erinevus seisneb ainult erinevas kooditulu vormis "..". Eelkõige versioonis 2.4.50 on keelatud võimalus kasutada järjestust "" koma kodeerimiseks, kuid topeltkodeerimise võimalus on jäetud tähelepanuta – järjestuses "%". server decodeeris selle «», ja seejärel «.», st sümbolid «..\/» eelnevale kataloogile minekuks võis kodeerida kui «.%\/».

Mis puudutab haavatavuse ärakasutamist koodi käivitamise kaudu, siis on see võimalik mod_cgi aktiveerimise ja bausteed kasutamise korral, kus CGI-skripti käitamine on lubatud (näiteks, kui on aktiveeritud ScriptAlias direktiiv või on määratud ExecCGI lipp Options direktiivis). Rünnaku edukaks läbiviimiseks on samuti hädavajalik, et Apache seades oleks selgelt ette nähtud juurdepääs täitmise failide kataloogidele, nagu /bin, või juur FS «/». Kuna tavaliselt sellist juurdepääsu ei anta, on koodijõudlus rünnak väga harva rakendatav reaalsüsteemidele.

Samas jääb aktuaalseks rünnak, mille eesmärk on saada juurdepääs mis tahes süsteemifailide ja veebiskripte allikakoodide sisu, mis on lugejale kergesti ligipääsetav, kellega http-serverit käivitab. Sellise rünnaku teostamiseks piisab, kui saidil on kataloog, mis on seadistatud «Alias» või «ScriptAlias» direktiivide abil (DocumentRoot ei ole piisav), nagu «cgi-bin».

Näide exploiti, mis võimaldab käivitada utiliiti «id» serveris: curl ‘http:\/\/192.168.0.1\/cgi-bin\/..%\/..%\/..%\/..%\/..%\/bin\/sh’ —data ‘echo Content-Type: text\/plain; echo; id’ uid=1(daemon) gid=1(daemon) groups=1(daemon)

Näide eksploitidest, mis võimaldab köita sisu \/etc\/passwd ja ühte veebi skripti (skriptide koodi edastamiseks peab olema näidatud kindel kataloog, mille määrab direktiiv «Alias», mille jaoks skriptide täitmine ei ole lubatud): curl ‘http:\/\/192.168.0.1\/cgi-bin\/..%\/..%\/..%\/..%\/..%\/etc\/passwd’ curl ‘http:\/\/192.168.0.1\/aliaseddir\/..%\/..%\/..%\/..%\/..%\/usr\/local\/apache2\/cgi-bin\/test.cgi’

Probleem mõjutab peamiselt pidevalt uuenevaid distributsioone, nagu Fedora, Arch Linux ja Gentoo, samuti FreeBSD sadamaid. Pakette konserveeritud serveri distribuutorites, nagu Debian, RHEL, Ubuntu ja SUSE, turvaaukudega ei seostata. Probleem ei ilmne, kui juurdepääs kataloogidele on selgelt keelatud seadistusega "require all denied".

Allikas: opennet.ru