Sasisho la dharura kwa seva ya Apache 2.4.50 http limeundwa, ambalo linaondoa uwezekano wa kuathiriwa wa siku 0 ambao tayari umetumiwa (CVE-2021-41773), ambayo inaruhusu ufikiaji wa faili kutoka maeneo yaliyo nje ya saraka ya mizizi ya tovuti. Kwa kutumia mazingira magumu, inawezekana kupakua faili za mfumo wa kiholela na maandishi chanzo cha hati za wavuti, zinazoweza kusomeka na mtumiaji ambaye seva ya http inaendesha chini yake. Wasanidi programu waliarifiwa kuhusu tatizo hilo mnamo Septemba 17, lakini waliweza kutoa sasisho leo tu, baada ya matukio ya hatari ya kutumiwa kushambulia tovuti kurekodiwa kwenye mtandao.
Kupunguza hatari ya kuathiriwa ni kwamba tatizo linaonekana tu katika toleo la hivi majuzi la 2.4.49 na haliathiri matoleo yote ya awali. Matawi thabiti ya usambazaji wa seva ya kihafidhina bado hayajatumia toleo la 2.4.49 (Debian, RHEL, Ubuntu, SUSE), lakini tatizo liliathiri ugawaji unaoendelea kusasishwa kama vile Fedora, Arch Linux na Gentoo, pamoja na bandari za FreeBSD.
Athari hii inatokana na hitilafu iliyoletwa wakati wa kuandikwa upya kwa msimbo wa kurekebisha njia katika URIs, kutokana na ambayo herufi iliyosimbwa ya "%2e" kwenye njia isingesawazishwa ikiwa ingetanguliwa na nukta nyingine. Kwa hivyo, iliwezekana kubadilisha herufi ghafi za “../” kwenye njia inayotokana kwa kubainisha mfuatano “.%2e/” katika ombi. Kwa mfano, ombi kama vile “https://example.com/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd” au “https://example.com/cgi -bin /.%2e/%2e%2e/%2e%2e/%2e%2e/etc/hosts" ilikuruhusu kupata yaliyomo kwenye faili "/etc/passwd".
Tatizo halifanyiki ikiwa ufikiaji wa saraka umekataliwa wazi kwa kutumia mpangilio wa "hitaji zote kukataliwa". Kwa mfano, kwa ulinzi wa sehemu unaweza kutaja katika faili ya usanidi: zinahitaji kukataliwa yote
Apache httpd 2.4.50 pia hurekebisha athari nyingine (CVE-2021-41524) inayoathiri moduli inayotekeleza itifaki ya HTTP/2. Athari hii ilifanya iwezekane kuanzisha urejeleaji wa kielekezi batili kwa kutuma ombi lililoundwa mahususi na kusababisha mchakato huo kuvurugika. Athari hii pia inaonekana katika toleo la 2.4.49 pekee. Kama suluhisho la usalama, unaweza kuzima usaidizi wa itifaki ya HTTP/2.
Chanzo: opennet.ru