Une autre vulnérabilité dans Apache httpd, permettant d'accéder en dehors du répertoire racine du site

Un nouveau vecteur d'attaque a été découvert pour le serveur http Apache, qui n'a pas été corrigé dans la mise à jour 2.4.50 et permet d'accéder à des fichiers en dehors du répertoire racine du site. De plus, des chercheurs ont trouvé un moyen permettant, sous certaines configurations non standards, non seulement de lire des fichiers système, mais aussi d'exécuter du code à distance sur le serveur. Le problème n'apparaît que dans les versions 2.4.49 et 2.4.50, les versions antérieures ne sont pas vulnérables. Pour remédier à cette nouvelle variante de vulnérabilité, une mise à jour rapide d'Apache httpd 2.4.51 a été publiée.

En réalité, le nouveau problème (CVE-2021-42013) est entièrement similaire à la vulnérabilité d'origine (CVE-2021-41773) dans 2.4.49, la seule différence résidant dans un encodage différent des caractères «..». En particulier, dans la version 2.4.50, l'utilisation de la séquence «» pour encoder un point a été bloquée, mais la possibilité d'un double encodage a été négligée — en spécifiant la séquence «%». serveur l'a décodé en «», puis en «.», c'est-à-dire que les caractères «.. /» pour remonter dans le répertoire précédent pouvaient être codés comme «.% /».

En ce qui concerne l'exploitation de la vulnérabilité par l'exécution de code, cela est possible si mod_cgi est activé et si le chemin de base autorise l'exécution de scripts CGI (par exemple, si la directive ScriptAlias est activée ou si le drapeau ExecCGI est spécifié dans la directive Options). Une exigence obligatoire pour réussir l'attaque est également de donner explicitement dans la configuration Apache l'accès aux répertoires contenant des fichiers exécutables, tels que \/bin, ou l'accès au répertoire racine du FS «\/». Comme cet accès n'est généralement pas accordé, l'attaque par exécution de code est peu applicable aux systèmes réels.

Cependant, l'attaque visant à obtenir le contenu de fichiers système arbitraires et de codes sources de scripts web accessibles en lecture pour l'utilisateur sous lequel le serveur http est exécuté reste d'actualité. Pour mener une telle attaque, il suffit d'avoir sur le site un répertoire configuré à l'aide des directives «Alias» ou «ScriptAlias» (DocumentRoot ne suffit pas), comme «cgi-bin».

Exemple d'exploit permettant d'exécuter l'utilitaire «id» sur le serveur: curl ‘http://192.168.0.1/cgi-bin/.%/.%/.%/.%/.%/bin/sh’ —data ‘echo Content-Type: text/plain; echo; id’ uid=1(daemon) gid=1(daemon) groups=1(daemon)

Exemple d'exploits permettant d'afficher le contenu /etc/passwd et l'un des scripts web (pour retourner le code des scripts en tant que base, un répertoire doit être spécifié via la directive «Alias», pour lequel l'exécution des scripts n'est pas activée) : curl ‘http://192.168.0.1/cgi-bin/.%/.%/.%/.%/.%/etc/passwd’ curl ‘http://192.168.0.1/aliaseddir/.%/.%/.%/.%/.%/usr/local/apache2/cgi-bin/test.cgi’

Le problème concerne principalement les distributions mises à jour continuellement, comme Fedora, Arch Linux et Gentoo, ainsi que les ports FreeBSD. Les paquets dans les branches stables des distributions serveurs conservatrices telles que Debian, RHEL, Ubuntu et SUSE ne sont pas vulnérables. Le problème ne se manifeste pas si l'accès aux répertoires est explicitement interdit par la configuration « require all denied ».

Source : opennet.ru