Haavatavus Apache 2.4.49 HTTP serveris võimaldab faili saada väljaspool saidi juurt

Täiendav värskendus Apache http-serveri versioonile 2.4.50 on välja antud, et kõrvaldada aktiivselt kasutuses olnud 0-päeva haavatavus (CVE-2021-41773), mis võimaldab pääseda juurde failidele veebisaidi juurkatalooge ümbritsevatest piirkondadest. Antud haavatavuse tõttu on võimalik laadida süsteemifaile ja veebiskeemide lähtekoodifailid, millele on juurdepääs kasutajal, kes käitab http-serverit. Arendajaid teavitati probleemist juba 17. septembril, kuid nad suutsid värskenduse välja anda alles täna, pärast seda, kui veebis avastati haavatavuse kasutamise juhtumeid rünnakute jaoks veebisaitidele.

Haavatavuse oht on leevendatud, kuna probleem esineb ainult hiljuti välja antud versioonis 2.4.49 ning ei mõjuta kõiki varasemaid versioone. Stabiilsetes harudes, nagu Debian, RHEL, Ubuntu ja SUSE, pole 2.4.49 versiooni veel kasutatud, kuid probleem on puudutanud pidevalt värskendatavaid jaotusi nagu Fedora, Arch Linux ja Gentoo ning ka FreeBSD porte.

Haavatavus on põhjustatud veast, mis tehti koodi ümbertegemise käigus URI-teede normaliseerimiseks. Selle tõttu ei normaliseeritud teel, kus punktisümbol (mis oli kodeeritud järjestusega «») eelnes teisele punktile. Seega oli võimalik lisada puhastamata sümboleid «../» lõpptee kaudu, kui päringus anti järjestus «./». Näiteks päringud nagu «https://example.com/cgi-bin/././././etc/passwd» või «https://example.com/cgi-bin/.////etc/hosts» võimaldasid pääseda failide «/etc/passwd» sisu juurde.

Probleem ei ilmne, kui juurdepääs kataloogidele on selgesõnaliselt keelatud seadistusega "require all denied". Näiteks osalise kaitse saavutamiseks võib konfiguratsioonifailis märkida: require all denied

Apache httpd 2.4.50 versioonis on samuti kõrvaldatud veel üks haavatavus (CVE-2021-41524), mis mõjutab HTTP/2 protokolli rakendavat moodulit. See haavatavus võimaldas erikujulise päringu saatmise kaudu algatada nulli de-referentsimise ja põhjustada protsessi kokkujooksu. See haavatavus ilmneb vaid versioonis 2.4.49. Kaitseks on võimalik keelata HTTP/2 toe kasutamine.

Allikas: opennet.ru