Направљено је хитно ажурирање хттп сервера Апацхе 2.4.50, које елиминише већ активно искоришћену рањивост од 0 дана (ЦВЕ-2021-41773), која омогућава приступ датотекама из области изван основног директоријума сајта. Користећи рањивост, могуће је преузети произвољне системске датотеке и изворне текстове веб скрипти које може да чита корисник под којим је покренут хттп сервер. Програмери су обавештени о проблему 17. септембра, али су успели да објаве ажурирање тек данас, након што су на мрежи забележени случајеви коришћења рањивости за напад на веб локације.
Опасност од рањивости ублажава то што се проблем појављује само у недавно објављеној верзији 2.4.49 и не утиче на сва ранија издања. Стабилне гране конзервативних серверских дистрибуција још нису користиле издање 2.4.49 (Дебиан, РХЕЛ, Убунту, СУСЕ), али проблем је утицао на дистрибуције које се стално ажурирају као што су Федора, Арцх Линук и Гентоо, као и портове ФрееБСД-а.
Рањивост је узрокована грешком која је уведена током поновног писања кода за нормализацију путања у УРИ-овима, због чега „%2е“ кодирани знак тачке у путањи не би био нормализован ако би му претходила друга тачка. Дакле, било је могуће заменити необрађене знакове „../” у резултујућој путањи тако што ћете навести секвенцу „.%2е/” у захтеву. На пример, захтев попут „хттпс://екампле.цом/цги-бин/.%2е/.%2е/.%2е/.%2е/етц/пассвд“ или „хттпс://екампле.цом/цги -бин /.%2е/%2е%2е/%2е%2е/%2е%2е/етц/хостс" вам је омогућио да добијете садржај датотеке "/етц/пассвд".
Проблем се не јавља ако је приступ директоријумима експлицитно одбијен коришћењем поставке „захтевај све одбијено“. На пример, за делимичну заштиту можете да наведете у конфигурационој датотеци: захтева све одбијено
Апацхе хттпд 2.4.50 такође поправља још једну рањивост (ЦВЕ-2021-41524) која утиче на модул који имплементира ХТТП/2 протокол. Рањивост је омогућила покретање дереференцирања нултог показивача слањем посебно креираног захтева и узроком пада процеса. Ова рањивост се такође појављује само у верзији 2.4.49. Као безбедносно решење, можете да онемогућите подршку за ХТТП/2 протокол.
Извор: опеннет.ру