अपाचे 2.4.49 http सर्वर में भेद्यता जो आपको साइट रूट के बाहर फ़ाइलें प्राप्त करने की अनुमति देती है

Apache 2.4.50 http सर्वर के लिए एक तत्काल अपडेट बनाया गया है, जो पहले से ही सक्रिय रूप से उपयोग की गई 0-दिन की भेद्यता (CVE-2021-41773) को समाप्त करता है, जो साइट की रूट निर्देशिका के बाहर के क्षेत्रों से फ़ाइलों तक पहुंच की अनुमति देता है। भेद्यता का उपयोग करते हुए, मनमानी सिस्टम फ़ाइलों और वेब स्क्रिप्ट के स्रोत पाठ को डाउनलोड करना संभव है, जो उस उपयोगकर्ता द्वारा पढ़ा जा सकता है जिसके तहत http सर्वर चल रहा है। डेवलपर्स को 17 सितंबर को समस्या के बारे में सूचित किया गया था, लेकिन नेटवर्क पर वेबसाइटों पर हमला करने के लिए इस्तेमाल की जा रही भेद्यता के मामले दर्ज होने के बाद, वे आज ही अपडेट जारी कर पाए।

इस भेद्यता की गंभीरता इस तथ्य से कम हो जाती है कि यह समस्या केवल हाल ही में जारी किए गए संस्करण 2.4.49 में ही प्रकट होती है और पहले के सभी संस्करणों को प्रभावित नहीं करती है। रिलीज़ 2.4.49 का उपयोग अभी तक रूढ़िवादी सर्वर वितरणों की स्थिर शाखाओं में नहीं किया गया है।Debian, आरएचईएल, Ubuntu(SUSE सहित), लेकिन इस समस्या ने Fedora, Arch जैसे लगातार अपडेट होने वाले वितरणों को भी प्रभावित किया। Linux और जेंटू के साथ-साथ फ्रीबीएसडी के पोर्ट भी।

यह भेद्यता URI में पथों को सामान्य बनाने के लिए कोड के पुनर्कार्य के दौरान पेश की गई त्रुटि के कारण होती है, जिसके कारण अनुक्रम "%2e" के साथ एन्कोड किए गए पथ में एक डॉट वर्ण सामान्यीकृत नहीं किया गया था यदि उसके पहले कोई अन्य डॉट था। इसलिए, अनुरोध में अनुक्रम ".%2e/" निर्दिष्ट करके परिणामी पथ में अस्वच्छ "../" वर्णों को प्रतिस्थापित करना संभव था। उदाहरण के लिए, "https://example.com/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd" या "https://example.com/cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/etc/hosts" जैसे अनुरोध ने फ़ाइल "/etc/passwd" की सामग्री प्राप्त करना संभव बना दिया।

यदि "सभी अस्वीकृत की आवश्यकता है" सेटिंग का उपयोग करके निर्देशिकाओं तक पहुँच को स्पष्ट रूप से अस्वीकार कर दिया जाता है, तो समस्या उत्पन्न नहीं होती है। उदाहरण के लिए, आंशिक सुरक्षा के लिए, आप कॉन्फ़िगरेशन फ़ाइल में निर्दिष्ट कर सकते हैं: सभी अस्वीकृत की आवश्यकता है

अपाचे httpd 2.4.50 HTTP/2021 प्रोटोकॉल को लागू करने वाले मॉड्यूल को प्रभावित करने वाली एक अन्य भेद्यता (CVE-41524-2) को भी ठीक करता है। भेद्यता ने एक विशेष रूप से तैयार किए गए अनुरोध को एक नल पॉइंटर डिरेफ़रेंस शुरू करने और प्रक्रिया क्रैश का कारण बनने की अनुमति दी। यह भेद्यता भी केवल संस्करण 2.4.49 में दिखाई देती है। वैकल्पिक उपाय के रूप में, आप HTTP/2 समर्थन को अक्षम कर सकते हैं।

स्रोत: opennet.ru