Bola vytvorená urgentná aktualizácia http servera Apache 2.4.50, ktorá odstraňuje už aktívne využívanú 0-dňovú zraniteľnosť (CVE-2021-41773), ktorá umožňuje prístup k súborom z oblastí mimo koreňového adresára stránky. Pomocou zraniteľnosti je možné stiahnuť ľubovoľné systémové súbory a zdrojové texty webových skriptov, čitateľné používateľom, pod ktorým http server beží. Vývojári boli na problém upozornení 17. septembra, no aktualizáciu mohli vydať až dnes, po tom, čo boli v sieti zaznamenané prípady zneužitia zraniteľnosti na webové stránky.
Závažnosť zraniteľnosti je zmiernená skutočnosťou, že problém sa prejavuje iba v nedávno vydanej verzii 2.4.49 a neovplyvňuje všetky staršie vydania. Verzia 2.4.49 sa zatiaľ nepoužíva v stabilných vetvách konzervatívnych serverových distribúcií (Debian, RHEL, Ubuntu, SUSE), ale problém postihoval neustále aktualizované distribúcie, ako napríklad Fedora, Arch Linux a Gentoo, ako aj porty FreeBSD.
Zraniteľnosť je spôsobená chybou zavedenou počas prepisovania kódu na normalizáciu ciest v identifikátoroch URI, kvôli ktorej by znak bodky „%2e“ v ceste nebol normalizovaný, ak by mu predchádzala iná bodka. Takto bolo možné do výslednej cesty nahradiť nespracované znaky „../“ zadaním sekvencie „.%2e/“ v požiadavke. Napríklad žiadosť ako „https://example.com/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd“ alebo „https://example.com/cgi -bin /.%2e/%2e%2e/%2e%2e/%2e%2e/etc/hosts" vám umožnilo získať obsah súboru "/etc/passwd".
Problém nenastane, ak je prístup k adresárom explicitne odmietnutý pomocou nastavenia „vyžadovať všetko odmietnuté“. Napríklad pre čiastočnú ochranu môžete zadať v konfiguračnom súbore: vyžadovať všetko zamietnuté
Apache httpd 2.4.50 tiež opravuje ďalšiu zraniteľnosť (CVE-2021-41524) ovplyvňujúcu modul implementujúci protokol HTTP/2. Táto chyba zabezpečenia umožnila spustiť dereferenciu nulového ukazovateľa odoslaním špeciálne pripravenej požiadavky a spôsobiť zlyhanie procesu. Táto zraniteľnosť sa tiež objavuje iba vo verzii 2.4.49. Ako riešenie zabezpečenia môžete zakázať podporu protokolu HTTP/2.
Zdroj: opennet.ru
