Brýn uppfærsla á Apache 2.4.50 http þjóninum hefur verið búin til, sem útilokar 0 daga varnarleysi sem þegar hefur verið notað á virkan hátt (CVE-2021-41773), sem gerir aðgang að skrám frá svæðum utan rótarskrár síðunnar. Með því að nota varnarleysið er hægt að hlaða niður handahófskenndum kerfisskrám og frumtexta vefforskrifta, læsilegum notandanum sem http þjónninn er undir. Þróunaraðilum var tilkynnt um vandamálið þann 17. september, en þeir gátu gefið út uppfærsluna fyrst í dag, eftir að tilvik þar sem varnarleysi var notað til að ráðast á vefsíður voru skráð á netinu.
Til að draga úr hættunni á varnarleysinu er að vandamálið birtist aðeins í nýútkominni útgáfu 2.4.49 og hefur ekki áhrif á allar fyrri útgáfur. Stöðugar greinar íhaldssamra netþjónadreifinga hafa ekki enn notað 2.4.49 útgáfuna (Debian, RHEL, Ubuntu, SUSE), en vandamálið hafði áhrif á stöðugt uppfærðar dreifingar eins og Fedora, Arch Linux og Gentoo, sem og höfn FreeBSD.
Varnarleysið stafar af villu sem kynnt var við endurskrifun kóðans til að staðla slóðir í URI, sem veldur því að „%2e“ kóðaður punktastafur í slóð yrði ekki eðlilegur ef annar punktur væri á undan honum. Þannig var hægt að skipta út hráum „../“ stöfum í slóðina sem myndaðist með því að tilgreina röðina „.%2e/“ í beiðninni. Til dæmis, beiðni eins og „https://example.com/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd“ eða „https://example.com/cgi“ -bin /.%2e/%2e%2e/%2e%2e/%2e%2e/etc/hosts" leyfði þér að fá innihald skráarinnar "/etc/passwd".
Vandamálið kemur ekki upp ef aðgangi að möppum er beinlínis neitað með því að nota stillinguna „require all denied“. Til dæmis, fyrir hlutavernd geturðu tilgreint í stillingarskránni: krefjast þess að öllum sé hafnað
Apache httpd 2.4.50 lagar einnig annan varnarleysi (CVE-2021-41524) sem hefur áhrif á einingu sem útfærir HTTP/2 samskiptareglur. Varnarleysið gerði það að verkum að hægt var að hefja núllbendi tilvísun með því að senda sérútbúna beiðni og valda því að ferlið hrundi. Þessi varnarleysi birtist einnig aðeins í útgáfu 2.4.49. Sem öryggislausn geturðu slökkt á stuðningi við HTTP/2 samskiptareglur.
Heimild: opennet.ru