Apache http සේවාදායකය සඳහා නව ප්‍රහාරක දෛශිකයක් සොයාගෙන ඇත, එය යාවත්කාලීන 2.4.50 හි නිවැරදි නොකළ අතර වෙබ් අඩවියේ මූල නාමාවලියෙන් පිටත ප්‍රදේශවලින් ගොනු වෙත ප්‍රවේශ වීමට ඉඩ සලසයි. මීට අමතරව, පර්යේෂකයන් විසින් සමහර සම්මත නොවන සැකසුම් ඉදිරියේ, පද්ධති ගොනු කියවීමට පමණක් නොව, සේවාදායකයේ දුරස්ථව ඔවුන්ගේ කේතය ක්රියාත්මක කිරීමට ඉඩ සලසන ක්රමයක් සොයාගෙන ඇත. ගැටළුව දිස්වන්නේ 2.4.49 සහ 2.4.50 නිකුතු වල පමණි; පෙර අනුවාදවලට බලපෑමක් නැත. නව අවදානම ඉවත් කිරීම සඳහා, Apache httpd 2.4.51 ඉක්මනින් නිකුත් කරන ලදී.
එහි හරය තුළ, නව ගැටලුව (CVE-2021-42013) 2021 හි මුල් අවදානමට (CVE-41773-2.4.49) සම්පූර්ණයෙන්ම සමාන වේ, එකම වෙනස වන්නේ “..” අක්ෂරවල වෙනස් කේතනය කිරීමයි. විශේෂයෙන්ම, 2.4.50 නිකුතුවේදී ලක්ෂ්‍යයක් සංකේතනය කිරීම සඳහා "%2e" අනුක්‍රමය භාවිතා කිරීමේ හැකියාව අවහිර වී ඇත, නමුත් ද්විත්ව කේතනය කිරීමේ හැකියාව මග හැරී ඇත - "%%32%65" අනුක්‍රමය සඳහන් කිරීමේදී, සේවාදායකය එය විකේතනය කළේය. "%2e" වෙතට පසුව " ." වෙතට, i.e. පෙර ඩිරෙක්ටරිය වෙත යාමට "../" අක්ෂර ".%%32%65/" ලෙස සංකේතනය කළ හැක.
කේත ක්රියාත්මක කිරීම හරහා ඇති අවදානම ප්‍රයෝජනයට ගැනීම සඳහා, mod_cgi සක්‍රීය කර ඇති විට සහ CGI ස්ක්‍රිප්ට් ක්රියාත්මක කිරීමට අවසර දී ඇති මූලික මාර්ගය භාවිතා කරන විට මෙය කළ හැකිය (උදාහරණයක් ලෙස, ScriptAlias විධානය සක්‍රීය කර ඇත්නම් හෝ ExecCGI ධජය සඳහන් කර තිබේ නම් විකල්ප විධානය). සාර්ථක ප්‍රහාරයක් සඳහා අනිවාර්ය අවශ්‍යතාවයක් වන්නේ /bin වැනි ක්රියාත්මක කළ හැකි ගොනු සහිත නාමාවලි වෙත ප්රවේශය පැහැදිලිවම සැපයීම හෝ Apache සැකසුම් තුළ "/" ගොනු පද්ධති මූලයට ප්රවේශය ලබා දීමයි. එවැනි ප්‍රවේශයක් සාමාන්‍යයෙන් ලබා නොදෙන බැවින්, කේත ක්රියාත්මක කිරීමේ ප්‍රහාරවලට සැබෑ පද්ධති සඳහා එතරම් යෙදීමක් නොමැත.
ඒ අතරම, http සේවාදායකය ක්රියාත්මක වන පරිශීලකයාට කියවිය හැකි, අත්තනෝමතික පද්ධති ගොනුවල අන්තර්ගතය සහ වෙබ් ස්ක්‍රිප්ට් වල මූලාශ්‍ර පාඨ ලබා ගැනීම සඳහා වන ප්‍රහාරය අදාළ වේ. එවැනි ප්‍රහාරයක් සිදු කිරීම සඳහා, “cgi-bin” වැනි “Alias” හෝ “ScriptAlias” විධාන (DocumentRoot ප්‍රමාණවත් නොවේ) භාවිතයෙන් වින්‍යාස කර ඇති වෙබ් අඩවියේ නාමාවලියක් තිබීම ප්‍රමාණවත් වේ.
සේවාදායකයේ “id” උපයෝගීතාව ක්රියාත්මක කිරීමට ඔබට ඉඩ සලසන සූරාකෑමක උදාහරණයක්: curl 'http://192.168.0.1/cgi-bin/.%%32%65/.%%32%65/.%% 32%65/.%% 32%65/.%%32%65/bin/sh' —data 'echo Content-type: text/plain; දෝංකාරය; id' uid=1(ඩේමන්) gid=1(ඩේමන්) කණ්ඩායම්=1(ඩේමන්)
ඔබට /etc/passwd හි අන්තර්ගතය සහ එක් වෙබ් ස්ක්‍රිප්ට් ප්‍රදර්ශනය කිරීමට ඉඩ සලසන සූරාකෑම් පිළිබඳ උදාහරණයක් (ස්ක්‍රිප්ට් කේතය ප්‍රතිදානය කිරීමට, ස්ක්‍රිප්ට් ක්රියාත්මක කිරීම සක්‍රීය කර නොමැති “අන්වර්ථ” විධානය හරහා අර්ථ දක්වා ඇති නාමාවලිය සඳහන් කළ යුතුය. මූලික නාමාවලිය ලෙස): curl 'http://192.168.0.1 .32/cgi-bin/.%%65%32/.%%65%32/.%%65%32/.%%65%32/.% %65%192.168.0.1/etc/passwd' curl 'http: //32/aliaseddir/.%%65%32/.%%65%32/.%%65%32/.%%65%32/. %%65%2/usr/local/apacheXNUMX/cgi -bin/test.cgi'
ගැටළුව ප්‍රධාන වශයෙන් Fedora, Arch Linux සහ Gentoo වැනි අඛණ්ඩව යාවත්කාලීන කරන ලද බෙදාහැරීම්වලට මෙන්ම FreeBSD හි වරායන්ටද බලපායි. Debian, RHEL, Ubuntu සහ SUSE යන කොන්සර්වේටිව් සේවාදායක බෙදාහැරීම්වල ස්ථායී ශාඛාවල ඇති පැකේජ අවදානමට ලක් නොවේ. "සියල්ල ප්රතික්ෂේප කිරීමට අවශ්ය" සැකසුම භාවිතයෙන් නාමාවලි වෙත ප්රවේශය පැහැදිලිවම ප්රතික්ෂේප කළහොත් ගැටළුව සිදු නොවේ.
මූලාශ්රය: opennet.ru