Yo te kreye yon aktyalizasyon ijan sou sèvè Apache 2.4.50 http la, ki elimine yon vilnerabilite 0-jou ki deja eksplwate aktivman (CVE-2021-41773), ki pèmèt aksè nan dosye ki soti nan zòn andeyò anyè rasin sit la. Sèvi ak vilnerabilite a, li posib pou telechaje dosye sistèm abitrè ak tèks sous nan scripts entènèt, itilizatè a lizib anba ki sèvè http la ap kouri. Devlopè yo te avize pwoblèm nan sou 17 septanm, men yo te kapab lage aktyalizasyon a sèlman jodi a, apre yo fin ka nan vilnerabilite yo te itilize pou atake sit entènèt yo te anrejistre sou rezo a.
Diminye danje vilnerabilite a se ke pwoblèm nan parèt sèlman nan vèsyon 2.4.49 ki fèk pibliye epi li pa afekte tout degaje anvan yo. Branch ki estab nan distribisyon sèvè konsèvatif yo poko itilize lage 2.4.49 la (Debian, RHEL, Ubuntu, SUSE), men pwoblèm nan afekte distribisyon kontinyèlman mete ajou tankou Fedora, Arch Linux ak Gentoo, osi byen ke pò FreeBSD.
Vilnerabilite a se akòz yon ensèk ki te prezante pandan yon re-ekri kòd pou nòmalize chemen nan URI, akòz yon karaktè "%2e" kode nan yon chemen pa ta dwe nòmalize si li te anvan pa yon lòt pwen. Kidonk, li te posib pou ranplase karaktè anvan tout koreksyon "../" nan chemen an ki lakòz lè yo espesifye sekans ".%2e/" nan demann lan. Pa egzanp, yon demann tankou "https://example.com/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd" oswa "https://example.com/cgi -bin /.%2e/%2e%2e/%2e%2e/%2e%2e/etc/hosts" te pèmèt ou jwenn sa ki nan fichye "/etc/passwd".
Pwoblèm nan pa rive si aksè nan anyè yo klèman refize lè l sèvi avèk paramèt "mande tout refize". Pou egzanp, pou pwoteksyon pasyèl ou ka presize nan dosye konfigirasyon an: mande pou tout refize
Apache httpd 2.4.50 ranje tou yon lòt vilnerabilite (CVE-2021-41524) ki afekte yon modil ki aplike pwotokòl HTTP/2 la. Vilnerabilite a te fè li posib pou kòmanse dereference pointer nil pa voye yon demann espesyalman fabrike epi lakòz pwosesis la aksidan. Vilnerabilite sa a parèt sèlman nan vèsyon 2.4.49. Kòm yon solisyon sekirite, ou ka enfim sipò pou pwotokòl HTTP/2 la.
Sous: opennet.ru