Uma atualização de emergência para o servidor HTTP Apache 2.4.50 foi divulgada, corrigindo uma vulnerabilidade de dia zero (CVE-2021-41773) que já estava sendo explorada ativamente, permitindo o acesso a arquivos fora do diretório raiz do site. A vulnerabilidade possibilitou o upload de arquivos de sistema arbitrários e códigos-fonte de scripts web acessíveis ao usuário sob o qual o servidor HTTP está sendo executado. Os desenvolvedores foram notificados sobre o problema em 17 de setembro, mas só conseguiram lançar a atualização hoje, após casos de exploração da vulnerabilidade serem registrados na internet.
A gravidade da vulnerabilidade é mitigada pelo fato de que o problema ocorre apenas na versão recém-lançada 2.4.49 e não afeta versões anteriores. Nas distribuições de servidor conservadoras e estáveis, a versão 2.4.49 ainda não foi utilizada (Debian, RHEL, Ubuntu, SUSE), mas o problema afetou distribuições de atualização contínua, como Fedora, Arch Linux e Gentoo, bem como os ports do FreeBSD.
A vulnerabilidade é causada por um erro cometido durante a reorganização do código para normalizar caminhos em URIs, resultando na não normalização do ponto codificado como «» no caminho, caso fosse precedido por outro ponto. Isso possibilitou a injeção de caracteres não filtrados «..\/» no caminho resultante ao especificar na solicitação a sequência «.\/». Por exemplo, uma solicitação do tipo «https:\/\/example.com\/cgi-bin\/.\/.\/.\/.\/etc\/passwd» ou «https:\/\/example.com\/cgi-bin\/.\/\/\/\/etc\/hosts» permitia acessar o conteúdo do arquivo «\/etc\/passwd».
O problema não ocorre se o acesso aos diretórios for explicitamente negado por meio da configuração 'require all denied'. Por exemplo, para uma proteção parcial, você pode declarar no arquivo de configuração: require all denied
Na versão Apache httpd 2.4.50, outra vulnerabilidade (CVE-2021-41524) também foi corrigida, afetando o módulo que implementa o protocolo HTTP/2. A vulnerabilidade permitia que um pedido especialmente formatado iniciasse uma desreferenciação de ponteiro nulo, resultando em uma falha no processo. Essa vulnerabilidade também se manifesta apenas na versão 2.4.49. Como uma alternativa de proteção, você pode desativar o suporte ao protocolo HTTP/2.
Fonte: opennet.ru
