{"id":101551,"date":"2021-10-06T04:22:36","date_gmt":"2021-10-06T02:22:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-http-servere-apache-2-4-49-pozvolyayushhaya-poluchit-fajly-vne-kornya-sajta"},"modified":"2021-10-06T04:22:36","modified_gmt":"2021-10-06T02:22:36","slug":"uyazvimost-v-http-servere-apache-2-4-49-pozvolyayushhaya-poluchit-fajly-vne-kornya-sajta","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-http-servere-apache-2-4-49-pozvolyayushhaya-poluchit-fajly-vne-kornya-sajta","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans le serveur http Apache 2.4.49, permettant d'acc\u00e9der \u00e0 des fichiers en dehors de la racine du site","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une mise \u00e0 jour d'urgence du serveur http Apache 2.4.50 a \u00e9t\u00e9 r\u00e9alis\u00e9e pour corriger une vuln\u00e9rabilit\u00e9 0-day d\u00e9j\u00e0 exploit\u00e9e (CVE-2021-41773), permettant un acc\u00e8s \u00e0 des fichiers situ\u00e9s en dehors du r\u00e9pertoire racine du site. Cette vuln\u00e9rabilit\u00e9 permettait de charger des fichiers syst\u00e8me arbitraires et des scripts web disponibles en lecture par l'utilisateur sous lequel le serveur http fonctionne. Les d\u00e9veloppeurs ont \u00e9t\u00e9 inform\u00e9s du probl\u00e8me d\u00e8s le 17 septembre, mais n'ont pu publier la mise \u00e0 jour qu'aujourd'hui, apr\u00e8s que des cas d'exploitation de cette vuln\u00e9rabilit\u00e9 ont \u00e9t\u00e9 constat\u00e9s en ligne. <\/p>\n
Le danger de la vuln\u00e9rabilit\u00e9 est att\u00e9nu\u00e9 par le fait que le probl\u00e8me ne se manifeste que dans la version r\u00e9cemment publi\u00e9e 2.4.49 et ne concerne pas les versions ant\u00e9rieures. Dans les branches stables des distributions serveur conservatrices, la version 2.4.49 n'est pas encore utilis\u00e9e (Debian, RHEL, Ubuntu, SUSE), mais le probl\u00e8me a touch\u00e9 les distributions r\u00e9guli\u00e8rement mises \u00e0 jour, telles que Fedora, Arch Linux et Gentoo, ainsi que les ports FreeBSD. <\/p>\n
La vuln\u00e9rabilit\u00e9 est caus\u00e9e par une erreur survenue lors de la r\u00e9vision du code pour la normalisation des chemins dans l'URI, ce qui a conduit \u00e0 ce que le symbole de point cod\u00e9 avec la s\u00e9quence «» dans le chemin ne soit pas normalis\u00e9 s'il \u00e9tait pr\u00e9c\u00e9d\u00e9 par un autre point. Ainsi, il est devenu possible d'injecter des caract\u00e8res non filtr\u00e9s «..\\\/» dans le chemin r\u00e9sultant en indiquant dans la requ\u00eate la s\u00e9quence «.\\\/». Par exemple, une requ\u00eate telle que «https:\\\/\\\/example.com\\\/cgi-bin\\\/.\\\/.\\\/.\\\/.\\\/etc\\\/passwd» ou «https:\\\/\\\/example.com\\\/cgi-bin\\\/.\\\/\\\/\\\\\/\\\\\/etc\\\/hosts» permettait d'acc\u00e9der au contenu du fichier «\\\/etc\\\/passwd». <\/p>\n
Le probl\u00e8me ne se manifeste pas si l'acc\u00e8s aux r\u00e9pertoires est explicitement interdit par la directive «require all denied». Par exemple, pour une protection partielle, vous pouvez indiquer dans le fichier de configuration : <Directory \\\/> require all denied <\\\/Directory> <\/p>\n
Dans la version Apache httpd 2.4.50, une autre vuln\u00e9rabilit\u00e9 (CVE-2021-41524) a \u00e9galement \u00e9t\u00e9 corrig\u00e9e, touchant le module d'impl\u00e9mentation du protocole HTTP\\\/2. Cette vuln\u00e9rabilit\u00e9 permettait, par l'envoi d'une requ\u00eate sp\u00e9cialement format\u00e9e, d'initier la d\u00e9r\u00e9f\u00e9renciation d'un pointeur nul et de provoquer un crash du processus. Cette vuln\u00e9rabilit\u00e9 se manifeste \u00e9galement uniquement dans la version 2.4.49. En tant que solution de contournement, l'activation de la prise en charge du protocole HTTP\\\/2 peut \u00eatre d\u00e9sactiv\u00e9e. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"