{"id":101551,"date":"2021-10-06T04:22:36","date_gmt":"2021-10-06T02:22:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-http-servere-apache-2-4-49-pozvolyayushhaya-poluchit-fajly-vne-kornya-sajta"},"modified":"2021-10-06T04:22:36","modified_gmt":"2021-10-06T02:22:36","slug":"uyazvimost-v-http-servere-apache-2-4-49-pozvolyayushhaya-poluchit-fajly-vne-kornya-sajta","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimost-v-http-servere-apache-2-4-49-pozvolyayushhaya-poluchit-fajly-vne-kornya-sajta","title":{"rendered":"Vulnerabilit\u00e0 nel server HTTP Apache 2.4.49 che consente di accedere ai file al di fuori della radice del sito","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
\u00c8 stato urgentemente rilasciato un aggiornamento per il server HTTP Apache 2.4.50, che risolve una vulnerabilit\u00e0 0-day gi\u00e0 attivamente sfruttata (CVE-2021-41773), consentendo l'accesso ai file al di fuori della directory principale del sito. La vulnerabilit\u00e0 permette di caricare file di sistema arbitrari e testi sorgenti di script web accessibili per l'utente sotto cui \u00e8 in esecuzione il server HTTP. Gli sviluppatori sono stati avvisati del problema gi\u00e0 il 17 settembre, ma sono riusciti a rilasciare l'aggiornamento solo oggi, dopo che sono stati registrati in rete casi di sfruttamento della vulnerabilit\u00e0 per attaccare i siti. <\/p>\n
Il rischio legato alla vulnerabilit\u00e0 \u00e8 mitigato dal fatto che il problema si manifesta solo nella versione recentemente rilasciata 2.4.49 e non riguarda le versioni precedenti. Nelle versioni stabili dei distibutivi server conservativi, la versione 2.4.49 non \u00e8 stata ancora utilizzata (Debian, RHEL, Ubuntu, SUSE), ma il problema ha colpito distribuzioni costantemente aggiornate, come Fedora, Arch Linux e Gentoo, oltre ai port di FreeBSD. <\/p>\n
La vulnerabilit\u00e0 \u00e8 causata da un errore introdotto durante la revisione del codice per la normalizzazione dei percorsi URI, che impedisce la normalizzazione del carattere punto codificato con la sequenza «» se preceduto da un altro punto. In questo modo, \u00e8 diventata possibile l'inserimento di caratteri non puliti «..\/» nel percorso risultante specificando nella richiesta la sequenza «.\/». Ad esempio, una richiesta del tipo «https:\/\/example.com\/cgi-bin\/.\/.\/.\/.\/etc\/passwd» o «https:\/\/example.com\/cgi-bin\/.\/\/\/\/etc\/hosts» permetteva di accedere al contenuto del file «\/etc\/passwd». <\/p>\n
Il problema non si manifesta se l'accesso alle directory \u00e8 esplicitamente vietato tramite la configurazione «require all denied». Ad esempio, per una protezione parziale, si pu\u00f2 specificare nel file di configurazione: <Directory \/> require all denied <\/Directory> <\/p>\n
Nella versione Apache httpd 2.4.50 \u00e8 stata anche risolta un'altra vulnerabilit\u00e0 (CVE-2021-41524) che interessa il modulo di implementazione del protocollo HTTP\/2. La vulnerabilit\u00e0 consentiva, attraverso l'invio di una richiesta appositamente formattata, di innescare un dereferenziamento di un puntatore nullo e causare il crash del processo. Questa vulnerabilit\u00e0 si manifesta anche solo nella versione 2.4.49. Come soluzione alternativa, \u00e8 possibile disattivare il supporto per il protocollo HTTP\/2. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"