Nûvekirinek bilez ji servera Apache 2.4.50 http re hatîye afirandin, ku xirapbûnek 0-rojî ya ku berê bi çalak hatî bikar anîn (CVE-2021-41773) ji holê radike, ku destûrê dide gihîştina pelan ji deverên derveyî pelrêça root ya malperê. Bi karanîna qelsbûnê, gengaz e ku pelên pergalê yên kêfî û nivîsarên çavkaniyê yên nivîsarên malperê dakêşin, ku ji hêla bikarhênerê ku servera http-ê di bin de dixebite ve têne xwendin. Pêşdebiran di 17ê Îlonê de ji pirsgirêkê agahdar bûn, lê karîbûn nûvekirinê tenê îro berdin, piştî ku bûyerên qelsbûnê yên ku ji bo êrişkirina malperan têne bikar anîn li ser torê hatin tomar kirin.
Kêmkirina xetereya qelsiyê ev e ku pirsgirêk tenê di guhertoya nû ya 2.4.49-a hatî berdan de xuya dike û bandorê li hemî berdanên berê nake. Şaxên stabîl ên belavkirina servera muhafezekar hîna serbestberdana 2.4.49 (Debian, RHEL, Ubuntu, SUSE) bikar neaniye, lê pirsgirêk bandor li belavokên domdar ên nûvekirî yên wekî Fedora, Arch Linux û Gentoo, û her weha portên FreeBSD kir.
Qelsî ji ber xeletiyekê ye ku di dema ji nû ve nivîsandina kodê de ji bo normalîzekirina rêyên di URI-yan de hatî destnîşan kirin, ji ber vê yekê karakterek xala kodkirî ya "%2e" di rêyekê de heke berî wê bi xalek din were normalîzekirin nayê normalîze kirin. Bi vî awayî, bi diyarkirina rêzika ".%2e/" di daxwazê de mimkun bû ku tîpên xav "../" biguhezînin riya encam. Mînakî, daxwazek mîna "https://example.com/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd" an "https://example.com/cgi -bin /.%2e/%2e%2e/%2e%2e/%2e%2e/etc/hosts" hişt ku hûn naveroka pelê "/etc/passwd" bistînin.
Ger gihandina pelrêçan bi eşkereyî bi karanîna mîhenga "ji hemî red kirin hewce dike" were red kirin, pirsgirêk dernakeve. Mînakî, ji bo parastina qismî hûn dikarin di pelê veavakirinê de diyar bikin: hewce dike ku hemî red kirin
Apache httpd 2.4.50 di heman demê de qelsiyek din jî rast dike (CVE-2021-41524) ku bandorê li modulek ku protokola HTTP/2 bicîh tîne dike. Zehfbûnê ev gengaz kir ku bi şandina daxwazek taybetî ya çêkirî dest bi veqetandina nîşana null bike û bibe sedema têkçûna pêvajoyê. Ev qelsî jî tenê di guhertoya 2.4.49 de xuya dike. Wekî çareseriyek ewlehiyê, hûn dikarin piştgiriya protokola HTTP/2 neçalak bikin.
Source: opennet.ru