Ua maua se ve'a osofa'i fou mo le Apache http server, lea e le'i fa'asa'oina i le fa'afouga 2.4.50 ma fa'atagaina avanoa i faila mai vaega i fafo atu o le fa'atonuga a'a. E le gata i lea, ua maua e le au suʻesuʻe se metotia e mafai ai, i le i ai o nisi tulaga e le masani ai, e le gata e faitau faila faila, ae faʻapea foʻi ona faʻatino mamao a latou code i luga o le server. E na'o le fa'afitauli e aliali mai i fa'asalalauga 2.4.49 ma le 2.4.50, e le'o a'afia ai lomiga muamua. Ina ia faʻaumatia le faʻafitauli fou, Apache httpd 2.4.51 na vave faʻasaʻolotoina.
I lona autu, o le faʻafitauli fou (CVE-2021-42013) e tutusa lelei ma le faʻafitauli muamua (CVE-2021-41773) i le 2.4.49, na o le pau lava le eseesega o se faʻailoga ese o le ".." mataitusi. Aemaise lava, i le faʻamalolo 2.4.50 o le mafai ona faʻaogaina le faasologa "% 2e" e faʻapipiʻi ai se mea na poloka, ae o le avanoa e faaluaina le faʻailoga na misi - pe a faʻamaonia le faasologa "%% 32% 65", na faʻavasega e le server. i totonu o le "%2e" ona sosoo ai lea ma le " .", i.e. o mataitusi "../" e alu i le lisi muamua e mafai ona fa'ailogaina o le ".%%32%65/".
Ae mo le faʻaaogaina o le faʻafitauli e ala i le faʻatinoina o tulafono, e mafai pe a mafai le mod_cgi ma faʻaaogaina le ala autu lea e faʻatagaina ai le faʻatinoina o tusitusiga CGI (mo se faʻataʻitaʻiga, pe a mafai le faʻatonuga a le ScriptAlias pe faʻamaonia le fuʻa ExecCGI i le Fa'atonuga filifiliga). O se manaʻoga faʻatulafonoina mo se osofaʻiga manuia o le tuʻuina atu lea o le avanoa i faʻatonuga ma faila faila, e pei o / bin, poʻo le avanoa i le faila faila aʻa "/" i totonu o le Apache settings. Talu ai o ia avanoa e le masani ona faʻatagaina, o osofaʻiga faʻataunuʻu code e itiiti lava le faʻaogaina i faiga moni.
I le taimi lava e tasi, o le osofaʻiga e maua ai mea o loʻo i totonu o faila faila faʻapitoa ma faʻamatalaga autu o tusitusiga i luga ole laiga, e mafai ona faitau e le tagata faʻaoga o loʻo faʻaogaina ai le http server, e tumau pea le talafeagai. Ina ia faia sea osofaiga, ua lava le i ai o se lisi i luga o le upega tafaʻilagi faʻatulagaina e faʻaaoga ai le "Alias" poʻo le "ScriptAlias" faʻatonuga (DocumentRoot e le lava), pei o le "cgi-bin".
O se faʻataʻitaʻiga o se faʻaoga e mafai ai ona e faʻaogaina le "id" aoga i luga o le server: curl 'http://192.168.0.1/cgi-bin/.%%32%65/.%%32%65/.%% 32%65/.%% 32%65/.%%32%65/bin/sh' —fa'amatalaga 'echo Content-Type: text/plain; si'uleo; id' uid=1(daemon) gid=1(daemon) vaega=1(daemon)
O se faʻataʻitaʻiga o faʻaoga e mafai ai ona e faʻaalia mea o loʻo i totonu o /etc/passwd ma se tasi o tusitusiga i luga o le upega tafaʻilagi (e faʻaalia ai le code script, o le faʻatonuga o loʻo faʻamatalaina e ala i le "Alias" faʻatonuga, lea e le mafai ai le faʻatinoina o tusitusiga, e tatau ona faʻamaonia. e pei o le lisi autu): curl 'http://192.168.0.1 .32/cgi-bin/.%%65%32/.%%65%32/.%%65%32/.%%65%32/.% %65%192.168.0.1/etc/passwd' curl 'http: //32/aliaseddir/.%%65%32/.%%65%32/.%%65%32/.%%65%32/. %%65%2/usr/local/apacheXNUMX/cgi -bin/test.cgi'
O le faʻafitauli e aʻafia ai le faʻaauauina o tufatufaga e pei o Fedora, Arch Linux ma Gentoo, faʻapea foʻi ma taulaga o FreeBSD. O pusa i totonu o lala mautu o le faʻasalalauga faʻasalalau faʻasalalau Debian, RHEL, Ubuntu ma SUSE e le afaina i le faʻafitauli. E le tupu le faʻafitauli pe a fai e faʻafitia le avanoa i faʻatonuga e faʻaaoga ai le "manaʻomia uma faʻafitia" seti.
puna: opennet.ru