Bola vytvorená urgentná aktualizácia http servera Apache 2.4.50, ktorá odstraňuje už aktívne využívanú 0-dňovú zraniteľnosť (CVE-2021-41773), ktorá umožňuje prístup k súborom z oblastí mimo koreňového adresára stránky. Pomocou zraniteľnosti je možné stiahnuť ľubovoľné systémové súbory a zdrojové texty webových skriptov, čitateľné používateľom, pod ktorým http server beží. Vývojári boli na problém upozornení 17. septembra, no aktualizáciu mohli vydať až dnes, po tom, čo boli v sieti zaznamenané prípady zneužitia zraniteľnosti na webové stránky.
Zmiernenie nebezpečenstva tejto zraniteľnosti spočíva v tom, že problém sa vyskytuje iba v nedávno vydanej verzii 2.4.49 a neovplyvňuje všetky staršie vydania. Stabilné vetvy konzervatívnych serverových distribúcií zatiaľ nepoužili vydanie 2.4.49 (Debian, RHEL, Ubuntu, SUSE), ale problém sa týkal priebežne aktualizovaných distribúcií ako Fedora, Arch Linux a Gentoo, ako aj portov FreeBSD.
Zraniteľnosť je spôsobená chybou zavedenou počas prepisovania kódu na normalizáciu ciest v identifikátoroch URI, kvôli ktorej by znak bodky „%2e“ v ceste nebol normalizovaný, ak by mu predchádzala iná bodka. Takto bolo možné do výslednej cesty nahradiť nespracované znaky „../“ zadaním sekvencie „.%2e/“ v požiadavke. Napríklad žiadosť ako „https://example.com/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd“ alebo „https://example.com/cgi -bin /.%2e/%2e%2e/%2e%2e/%2e%2e/etc/hosts" vám umožnilo získať obsah súboru "/etc/passwd".
Problém nenastane, ak je prístup k adresárom explicitne odmietnutý pomocou nastavenia „vyžadovať všetko odmietnuté“. Napríklad pre čiastočnú ochranu môžete zadať v konfiguračnom súbore: vyžadovať všetko zamietnuté
Apache httpd 2.4.50 tiež opravuje ďalšiu zraniteľnosť (CVE-2021-41524) ovplyvňujúcu modul implementujúci protokol HTTP/2. Táto chyba zabezpečenia umožnila spustiť dereferenciu nulového ukazovateľa odoslaním špeciálne pripravenej požiadavky a spôsobiť zlyhanie procesu. Táto zraniteľnosť sa tiež objavuje iba vo verzii 2.4.49. Ako riešenie zabezpečenia môžete zakázať podporu protokolu HTTP/2.
Zdroj: opennet.ru