פגיעות נוספת ב- Apache httpd המאפשרת גישה מחוץ לספריית השורש של האתר

נמצא וקטור התקפה חדש עבור שרת ה-Apache http, שנותר ללא תיקון בעדכון 2.4.50 ומאפשר גישה לקבצים מאזורים מחוץ לספריית השורש של האתר. בנוסף, חוקרים מצאו שיטה המאפשרת, בנוכחות הגדרות מסוימות שאינן סטנדרטיות, לא רק לקרוא קבצי מערכת, אלא גם להפעיל מרחוק את הקוד שלהם בשרת. הבעיה מופיעה רק במהדורות 2.4.49 ו-2.4.50; גרסאות קודמות אינן מושפעות. כדי לבטל את הפגיעות החדשה, Apache httpd 2.4.51 שוחרר במהירות.

בבסיסה, הבעיה החדשה (CVE-2021-42013) דומה לחלוטין לפגיעות המקורית (CVE-2021-41773) ב-2.4.49, ההבדל היחיד הוא קידוד שונה של התווים "..". בפרט, במהדורה 2.4.50 נחסמה היכולת להשתמש ברצף "%2e" כדי לקודד נקודה, אך הוחמצה האפשרות של קידוד כפול - כאשר ציינו את הרצף "%%32%65", השרת פיענח אותו לתוך "%2e" ולאחר מכן לתוך " .", כלומר. התווים "../" למעבר לספרייה הקודמת יכולים להיות מקודדים בתור ".%%32%65/".

באשר לניצול הפגיעות באמצעות ביצוע קוד, הדבר אפשרי כאשר mod_cgi מופעל ונעשה שימוש בנתיב הבסיס שבו מותרת ביצוע סקריפטים של CGI (לדוגמה, אם ההנחיה ScriptAlias ​​מופעלת או דגל ExecCGI מצוין ב- הוראת אפשרויות). דרישה חובה להתקפה מוצלחת היא גם לספק גישה מפורשת לספריות עם קבצי הפעלה, כגון /bin, או גישה לשורש מערכת הקבצים "/" בהגדרות Apache. מכיוון שגישה כזו אינה ניתנת בדרך כלל, להתקפות ביצוע קוד יש מעט יישום למערכות אמיתיות.

יחד עם זאת, המתקפה להשגת תוכן קבצי מערכת שרירותיים וטקסטים מקוריים של סקריפטים באינטרנט, הניתנים לקריאה על ידי המשתמש שתחתיו פועל שרת ה-http, נותרה רלוונטית. כדי לבצע תקיפה כזו, מספיק שתגדיר ספרייה באתר באמצעות הנחיות "Alias" או "ScriptAlias" (DocumentRoot אינו מספיק), כגון "cgi-bin".

דוגמה לניצול המאפשר לך להפעיל את כלי השירות "id" בשרת: curl 'http://192.168.0.1/cgi-bin/.%%32%65/.%%32%65/.%% 32%65/.%% 32%65/.%%32%65/bin/sh' —data 'echo Content-Type: text/plain; הֵד; id' uid=1(דימון) gid=1(דימון) groups=1(דימון)

דוגמה לניצול המאפשר לך להציג את התוכן של /etc/passwd ואחד מסקריפטי האינטרנט (כדי להוציא את קוד הסקריפט, יש לציין את הספרייה המוגדרת באמצעות ההנחיה "כינוי", שעבורה ביצוע סקריפט אינו זמין. בתור ספריית הבסיס): curl 'http://192.168.0.1 .32/cgi-bin/.%%65%32/.%%65%32/.%%65%32/.%%65%32/.% %65%192.168.0.1/etc/passwd' curl 'http: //32/aliaseddir/.%%65%32/.%%65%32/.%%65%32/.%%65%32/. %%65%2/usr/local/apacheXNUMX/cgi -bin/test.cgi'

הבעיה משפיעה בעיקר על הפצות המתעדכנות ברציפות כמו פדורה, Arch Linux וג'נטו, כמו גם יציאות של FreeBSD. חבילות בענפים היציבים של הפצות השרת השמרניות Debian, RHEL, Ubuntu ו-SUSE אינן מושפעות מהפגיעות. הבעיה אינה מתרחשת אם הגישה לספריות נדחתה במפורש באמצעות ההגדרה "דרוש כל נדחה".

מקור: OpenNet.ru