Izrađeno je hitno ažuriranje Apache 2.4.50 http poslužitelja, koje eliminira već aktivno iskorištenu 0-dnevnu ranjivost (CVE-2021-41773), koja dopušta pristup datotekama iz područja izvan korijenskog direktorija stranice. Koristeći ranjivost, moguće je preuzeti proizvoljne sistemske datoteke i izvorne tekstove web skripti koje može čitati korisnik pod kojim je pokrenut http poslužitelj. Programeri su o problemu obaviješteni 17. rujna, ali su ažuriranje mogli objaviti tek danas, nakon što su na mreži zabilježeni slučajevi korištenja ranjivosti za napad na web stranice.
Opasnost od ranjivosti umanjuje to što se problem pojavljuje samo u nedavno objavljenoj verziji 2.4.49 i ne utječe na sva ranija izdanja. Stabilne grane konzervativnih distribucija poslužitelja još nisu koristile izdanje 2.4.49 (Debian, RHEL, Ubuntu, SUSE), ali problem je zahvatio stalno ažurirane distribucije kao što su Fedora, Arch Linux i Gentoo, kao i portove FreeBSD-a.
Ranjivost je uzrokovana greškom uvedenom tijekom ponovnog pisanja koda za normaliziranje staza u URI-jima, zbog koje "%2e" kodirani znak točke u stazi ne bi bio normaliziran ako mu prethodi druga točka. Stoga je bilo moguće zamijeniti neobrađene znakove “../” u rezultirajuću stazu specificiranjem niza “.%2e/” u zahtjevu. Na primjer, zahtjev poput "https://example.com/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd" ili "https://example.com/cgi -bin /.%2e/%2e%2e/%2e%2e/%2e%2e/etc/hosts" omogućio vam je da dobijete sadržaj datoteke "/etc/passwd".
Problem se ne pojavljuje ako je pristup direktorijima eksplicitno odbijen korištenjem postavke "zahtijeva sve odbijeno". Na primjer, za djelomičnu zaštitu možete navesti u konfiguracijskoj datoteci: zahtijevaju sve odbijeno
Apache httpd 2.4.50 također popravlja drugu ranjivost (CVE-2021-41524) koja utječe na modul koji implementira HTTP/2 protokol. Ranjivost je omogućila pokretanje dereferencije nultog pokazivača slanjem posebno izrađenog zahtjeva i uzrokovala pad procesa. Ova se ranjivost također pojavljuje samo u verziji 2.4.49. Kao sigurnosno rješenje, možete onemogućiti podršku za HTTP/2 protokol.
Izvor: opennet.ru