Een nieuwe aanvalsvector is ontdekt op de Apache http-server, die onopgelost bleef in update 2.4.50 en toegang mogelijk maakt tot bestanden buiten de rootdirectory van de site. Bovendien hebben onderzoekers een methode gevonden waarmee, indien bepaalde niet-standaardinstellingen zijn geconfigureerd, niet alleen systeem bestanden gelezen kunnen worden, maar ook op afstand eigen code op de server kan worden uitgevoerd. Het probleem komt alleen voor in versies 2.4.49 en 2.4.50; eerdere versies zijn niet kwetsbaar. Om deze nieuwe variant van de kwetsbaarheid aan te pakken, is snel een release van Apache httpd 2.4.51 gecreëerd.
In wezen is het nieuwe probleem (CVE-2021-42013) volledig analoog aan de oorspronkelijke kwetsbaarheid (CVE-2021-41773) in 2.4.49, het enige verschil is de andere codering van de karakters «..». In versie 2.4.50 werd de mogelijkheid om de sequentie «» te gebruiken voor de codering van een punt geblokkeerd, maar de mogelijkheid voor dubbele codering werd gemist — bij het opgeven van de sequentie «%». server decodeerde het naar «», en vervolgens naar «.», dat wil zeggen dat de karakters «..\/» voor het navigeren naar de vorige map konden worden gecodeerd als «.%\/».
Wat betreft het exploiteren van de kwetsbaarheid door het uitvoeren van code, dit is mogelijk als mod_cgi is ingeschakeld en een basispad wordt gebruikt waar het uitvoeren van CGI-scripts is toegestaan (bijvoorbeeld als de directive ScriptAlias is ingeschakeld of de ExecCGI-vlag in de directive Options is ingesteld). Een vereiste voor een succesvolle aanval is ook dat expliciet toegang tot directories met uitvoerbare bestanden wordt verleend in de Apache-instellingen, zoals \/bin, of toegang tot de root van het bestandssysteem "\/". Aangezien deze toegang doorgaans niet wordt verleend, is de code-uitvoeringsaanval weinig toepasbaar op echte systemen.
Toch blijft de aanval die gericht is op het ophalen van de inhoud van willekeurige systeem bestanden en de broncodes van web-scripts, die leesbaar zijn voor de gebruiker waaronder de http-server draait, relevant. Voor het uitvoeren van een dergelijke aanval is het voldoende dat er op de site een directory aanwezig is die is ingesteld met de directives "Alias" of "ScriptAlias" (DocumentRoot is niet voldoende), zoals "cgi-bin".
Een voorbeeld van een exploit dat de utility "id" kan uitvoeren op de server: curl ‘http:\/\/192.168.0.1\/cgi-bin\/.%\/\.%\/\.%\/\.%\/\.%\/bin\/sh’ —data ‘echo Content-Type: text\/plain; echo; id’ uid=1(daemon) gid=1(daemon) groups=1(daemon)
Voorbeeld van exploits waarmee de inhoud van \/etc\/passwd en een van de webscripts kan worden weergegeven (om de code van de scripts weer te geven als basis, moet een directory zijn gespecificeerd via de directieve «Alias», waarvoor scriptuitvoering niet is ingeschakeld): curl ‘http:\/\/192.168.0.1\/cgi-bin\/.%\/\.%\/\.%\/\.%\/\.%\/etc\/passwd’ curl ‘http:\/\/192.168.0.1\/aliaseddir\/.%\/\.%\/\.%\/\.%\/\.%\/usr\/local\/apache2\/cgi-bin\/test.cgi’
Het probleem heeft voornamelijk invloed op continu bijgewerkte distributies zoals Fedora, Arch Linux en Gentoo, evenals poorten van FreeBSD. Pakketjes in de stabiele takken van conservatieve serverdistributies zoals Debian, RHEL, Ubuntu en SUSE zijn niet kwetsbaar. Het probleem manifesteert zich niet als de toegang tot mappen expliciet wordt verboden met de instelling ‘require all denied’.
Bron: opennet.ru
