Kerentanan dalam pelayan http Apache 2.4.49 yang membolehkan anda menerima fail di luar akar tapak

Kemas kini segera kepada pelayan http Apache 2.4.50 telah dibuat, yang menghapuskan kerentanan 0 hari yang telah dieksploitasi secara aktif (CVE-2021-41773), yang membenarkan akses kepada fail dari kawasan di luar direktori akar tapak. Menggunakan kerentanan, adalah mungkin untuk memuat turun fail sistem sewenang-wenangnya dan teks sumber skrip web, boleh dibaca oleh pengguna di bawahnya pelayan http sedang berjalan. Pembangun telah dimaklumkan tentang masalah itu pada 17 September, tetapi dapat mengeluarkan kemas kini hanya hari ini, selepas kes kelemahan yang digunakan untuk menyerang tapak web direkodkan pada rangkaian.

Mengurangkan bahaya kerentanan ialah masalah itu hanya muncul dalam versi 2.4.49 yang dikeluarkan baru-baru ini dan tidak menjejaskan semua keluaran terdahulu. Cabang stabil pengedaran pelayan konservatif belum lagi menggunakan keluaran 2.4.49 (Debian, RHEL, Ubuntu, SUSE), tetapi masalah itu menjejaskan pengedaran yang dikemas kini secara berterusan seperti Fedora, Arch Linux dan Gentoo, serta port FreeBSD.

Kerentanan ini disebabkan oleh pepijat yang diperkenalkan semasa penulisan semula kod untuk menormalkan laluan dalam URI, yang menyebabkan watak titik yang dikodkan "%2e" dalam laluan tidak akan dinormalkan jika ia didahului oleh titik lain. Oleh itu, adalah mungkin untuk menggantikan aksara "../" mentah ke dalam laluan yang terhasil dengan menentukan urutan ".%2e/" dalam permintaan. Contohnya, permintaan seperti “https://example.com/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd” atau “https://example.com/cgi -bin /.%2e/%2e%2e/%2e%2e/%2e%2e/etc/hosts" membenarkan anda mendapatkan kandungan fail "/etc/passwd".

Masalahnya tidak berlaku jika akses kepada direktori ditolak secara eksplisit menggunakan tetapan "memerlukan semua ditolak". Sebagai contoh, untuk perlindungan separa anda boleh tentukan dalam fail konfigurasi: memerlukan semua ditolak

Apache httpd 2.4.50 juga membetulkan kerentanan lain (CVE-2021-41524) yang mempengaruhi modul yang melaksanakan protokol HTTP/2. Kerentanan memungkinkan untuk memulakan penolakan penunjuk nol dengan menghantar permintaan yang dibuat khas dan menyebabkan proses ranap. Kerentanan ini juga muncul hanya dalam versi 2.4.49. Sebagai penyelesaian keselamatan, anda boleh melumpuhkan sokongan untuk protokol HTTP/2.

Sumber: opennet.ru