സൈറ്റിന്റെ റൂട്ട് ഡയറക്‌ടറിക്ക് പുറത്ത് ആക്‌സസ്സ് അനുവദിക്കുന്ന അപ്പാച്ചെ httpd-യിലെ മറ്റൊരു അപകടസാധ്യത

Apache http സെർവറിനായി ഒരു പുതിയ ആക്രമണ വെക്റ്റർ കണ്ടെത്തി, അത് 2.4.50 അപ്‌ഡേറ്റിൽ തിരുത്തപ്പെടാതെ തുടരുകയും സൈറ്റിന്റെ റൂട്ട് ഡയറക്‌ടറിക്ക് പുറത്തുള്ള പ്രദേശങ്ങളിൽ നിന്നുള്ള ഫയലുകളിലേക്ക് ആക്‌സസ് അനുവദിക്കുകയും ചെയ്യുന്നു. കൂടാതെ, ചില നിലവാരമില്ലാത്ത ക്രമീകരണങ്ങളുടെ സാന്നിധ്യത്തിൽ, സിസ്റ്റം ഫയലുകൾ വായിക്കാൻ മാത്രമല്ല, സെർവറിൽ വിദൂരമായി അവരുടെ കോഡ് എക്സിക്യൂട്ട് ചെയ്യാനും അനുവദിക്കുന്ന ഒരു രീതി ഗവേഷകർ കണ്ടെത്തി. 2.4.49, 2.4.50 പതിപ്പുകളിൽ മാത്രമേ പ്രശ്നം ദൃശ്യമാകൂ; മുമ്പത്തെ പതിപ്പുകളെ ബാധിക്കില്ല. പുതിയ അപകടസാധ്യത ഇല്ലാതാക്കാൻ, അപ്പാച്ചെ httpd 2.4.51 വേഗത്തിൽ പുറത്തിറങ്ങി.

അതിന്റെ കേന്ദ്രത്തിൽ, പുതിയ പ്രശ്നം (CVE-2021-42013) 2021-ലെ യഥാർത്ഥ ദുർബലതയുമായി (CVE-41773-2.4.49) പൂർണ്ണമായും സമാനമാണ്, ഒരേയൊരു വ്യത്യാസം ".." പ്രതീകങ്ങളുടെ വ്യത്യസ്ത എൻകോഡിംഗ് മാത്രമാണ്. പ്രത്യേകിച്ചും, റിലീസ് 2.4.50-ൽ ഒരു പോയിന്റ് എൻകോഡ് ചെയ്യുന്നതിനായി "% 2e" സീക്വൻസ് ഉപയോഗിക്കാനുള്ള കഴിവ് തടഞ്ഞു, പക്ഷേ ഇരട്ട എൻകോഡിംഗിന്റെ സാധ്യത നഷ്‌ടമായി - "%% 32% 65" എന്ന ക്രമം വ്യക്തമാക്കുമ്പോൾ, സെർവർ അത് ഡീകോഡ് ചെയ്തു. "% 2e" എന്നതിലേക്കും തുടർന്ന് "." എന്നതിലേക്കും, അതായത്. മുമ്പത്തെ ഡയറക്‌ടറിയിലേക്ക് പോകാനുള്ള "../" പ്രതീകങ്ങൾ ".%%32%65/" ആയി എൻകോഡ് ചെയ്യാം.

കോഡ് എക്‌സിക്യൂഷനിലൂടെയുള്ള അപകടസാധ്യത പ്രയോജനപ്പെടുത്തുന്നതിന്, mod_cgi പ്രവർത്തനക്ഷമമാക്കുകയും CGI സ്‌ക്രിപ്‌റ്റുകളുടെ നിർവ്വഹണം അനുവദിക്കുന്ന അടിസ്ഥാന പാത ഉപയോഗിക്കുകയും ചെയ്യുമ്പോൾ ഇത് സാധ്യമാണ് (ഉദാഹരണത്തിന്, ScriptAlias ​​ഡയറക്‌ടീവ് പ്രവർത്തനക്ഷമമാക്കുകയോ ExecCGI ഫ്ലാഗ് വ്യക്തമാക്കുകയോ ചെയ്‌തിട്ടുണ്ടെങ്കിൽ ഓപ്‌ഷനുകളുടെ നിർദ്ദേശം). വിജയകരമായ ആക്രമണത്തിനുള്ള നിർബന്ധിത ആവശ്യകത, എക്സിക്യൂട്ടബിൾ ഫയലുകളുള്ള ഡയറക്‌ടറികളിലേക്ക് /bin പോലെയുള്ള ആക്‌സസ് അല്ലെങ്കിൽ Apache ക്രമീകരണങ്ങളിലെ "/" ഫയൽ സിസ്റ്റം റൂട്ടിലേക്കുള്ള ആക്‌സസ്സ് വ്യക്തമായി നൽകണം എന്നതാണ്. അത്തരം ആക്‌സസ്സ് സാധാരണയായി അനുവദിക്കാത്തതിനാൽ, കോഡ് എക്‌സിക്യൂഷൻ ആക്രമണങ്ങൾക്ക് യഥാർത്ഥ സിസ്റ്റങ്ങളിൽ കാര്യമായ പ്രയോഗമില്ല.

അതേ സമയം, http സെർവർ പ്രവർത്തിക്കുന്ന ഉപയോക്താവിന് വായിക്കാൻ കഴിയുന്ന, അനിയന്ത്രിതമായ സിസ്റ്റം ഫയലുകളുടെയും വെബ് സ്ക്രിപ്റ്റുകളുടെ സോഴ്സ് ടെക്സ്റ്റുകളുടെയും ഉള്ളടക്കം നേടുന്നതിനുള്ള ആക്രമണം പ്രസക്തമായി തുടരുന്നു. അത്തരമൊരു ആക്രമണം നടത്താൻ, "cgi-bin" പോലെയുള്ള "Alias" അല്ലെങ്കിൽ "ScriptAlias" നിർദ്ദേശങ്ങൾ (DocumentRoot പോരാ) ഉപയോഗിച്ച് കോൺഫിഗർ ചെയ്ത സൈറ്റിൽ ഒരു ഡയറക്‌ടറി ഉണ്ടായാൽ മതിയാകും.

സെർവറിൽ "ഐഡി" യൂട്ടിലിറ്റി എക്സിക്യൂട്ട് ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്ന ചൂഷണത്തിന്റെ ഒരു ഉദാഹരണം: curl 'http://192.168.0.1/cgi-bin/.%%32%65/.%%32%65/.%% 32%65/.%% 32%65/.%%32%65/bin/sh' —data 'echo Content-Type: text/plain; പ്രതിധ്വനി; id’ uid=1(ഡെമൺ) gid=1(ഡെമൺ) ഗ്രൂപ്പുകൾ=1(ഡെമൺ)

/etc/passwd-ന്റെയും വെബ് സ്ക്രിപ്റ്റുകളുടെയും ഉള്ളടക്കം പ്രദർശിപ്പിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന ചൂഷണങ്ങളുടെ ഒരു ഉദാഹരണം (സ്ക്രിപ്റ്റ് കോഡ് ഔട്ട്പുട്ട് ചെയ്യുന്നതിന്, സ്ക്രിപ്റ്റ് എക്സിക്യൂഷൻ പ്രവർത്തനക്ഷമമാക്കിയിട്ടില്ലാത്ത "അലിയാസ്" ഡയറക്റ്റീവ് വഴി നിർവചിച്ചിരിക്കുന്ന ഡയറക്ടറി വ്യക്തമാക്കണം. അടിസ്ഥാന ഡയറക്ടറിയായി): ചുരുളൻ 'http://192.168.0.1 .32/cgi-bin/.%%65%32/.%%65%32/.%%65%32/.%%65%32/.% %65%192.168.0.1/etc/passwd' ചുരുളൻ 'http: //32/aliaseddir/.%%65%32/.%%65%32/.%%65%32/.%%65%32/. %%65%2/usr/local/apacheXNUMX/cgi -bin/test.cgi'

ഫെഡോറ, ആർച്ച് ലിനക്സ്, ജെന്റൂ തുടങ്ങിയ തുടർച്ചയായി പുതുക്കിയ വിതരണങ്ങളെയും FreeBSD പോർട്ടുകളെയും ഈ പ്രശ്നം പ്രധാനമായും ബാധിക്കുന്നു. യാഥാസ്ഥിതിക സെർവർ വിതരണങ്ങളായ ഡെബിയൻ, ആർഎച്ച്ഇഎൽ, ഉബുണ്ടു, എസ്യുഎസ്ഇ എന്നിവയുടെ സ്ഥിരതയുള്ള ശാഖകളിലെ പാക്കേജുകളെ അപകടസാധ്യത ബാധിക്കില്ല. "എല്ലാം നിഷേധിക്കപ്പെടേണ്ടതുണ്ട്" എന്ന ക്രമീകരണം ഉപയോഗിച്ച് ഡയറക്‌ടറികളിലേക്കുള്ള ആക്‌സസ് വ്യക്തമായി നിരസിച്ചാൽ പ്രശ്‌നം ഉണ്ടാകില്ല.

അവലംബം: opennet.ru