Apache http சேவையகத்திற்கான புதிய தாக்குதல் திசையன் கண்டறியப்பட்டது, இது 2.4.50 புதுப்பிப்பில் சரி செய்யப்படவில்லை மற்றும் தளத்தின் ரூட் கோப்பகத்திற்கு வெளியே உள்ள பகுதிகளிலிருந்து கோப்புகளை அணுக அனுமதிக்கிறது. கூடுதலாக, சில தரமற்ற அமைப்புகளின் முன்னிலையில், கணினி கோப்புகளைப் படிக்க மட்டுமல்லாமல், சர்வரில் தங்கள் குறியீட்டை தொலைவிலிருந்து இயக்கவும் அனுமதிக்கும் ஒரு முறையை ஆராய்ச்சியாளர்கள் கண்டறிந்துள்ளனர். 2.4.49 மற்றும் 2.4.50 வெளியீடுகளில் மட்டுமே சிக்கல் தோன்றும்; முந்தைய பதிப்புகள் பாதிக்கப்படாது. புதிய பாதிப்பை அகற்ற, Apache httpd 2.4.51 விரைவாக வெளியிடப்பட்டது.
அதன் மையத்தில், புதிய சிக்கல் (CVE-2021-42013) 2021 இல் உள்ள அசல் பாதிப்புக்கு (CVE-41773-2.4.49) முற்றிலும் ஒத்திருக்கிறது, ஒரே வித்தியாசம் ".." எழுத்துக்களின் வேறுபட்ட குறியாக்கம் ஆகும். குறிப்பாக, வெளியீடு 2.4.50 இல் ஒரு புள்ளியை குறியாக்க "% 2e" வரிசையைப் பயன்படுத்துவதற்கான திறன் தடுக்கப்பட்டது, ஆனால் இரட்டை குறியாக்கத்தின் சாத்தியம் தவறிவிட்டது - "%% 32% 65" வரிசையைக் குறிப்பிடும்போது, சேவையகம் அதை டிகோட் செய்தது. "% 2e" ஆகவும் பின்னர் " ." ஆகவும், அதாவது. முந்தைய கோப்பகத்திற்குச் செல்ல "../" எழுத்துகள் ".%%32%65/" என குறியாக்கம் செய்யப்படலாம்.
குறியீடு செயல்படுத்தல் மூலம் பாதிப்பைப் பயன்படுத்துவதைப் பொறுத்தவரை, mod_cgi இயக்கப்பட்டிருக்கும் போது இது சாத்தியமாகும் மற்றும் அடிப்படை பாதையில் CGI ஸ்கிரிப்ட்களை செயல்படுத்த அனுமதிக்கப்படுகிறது (எடுத்துக்காட்டாக, ScriptAlias கட்டளை இயக்கப்பட்டிருந்தால் அல்லது ExecCGI கொடி குறிப்பிடப்பட்டிருந்தால் விருப்பங்கள் உத்தரவு). வெற்றிகரமான தாக்குதலுக்கான கட்டாயத் தேவை, /bin போன்ற இயங்கக்கூடிய கோப்புகளைக் கொண்ட கோப்பகங்களுக்கான அணுகலை வெளிப்படையாக வழங்குவது அல்லது Apache அமைப்புகளில் உள்ள கோப்பு முறைமை ரூட் “/”க்கான அணுகலை வழங்குவதும் ஆகும். அத்தகைய அணுகல் பொதுவாக வழங்கப்படாததால், குறியீடு செயல்படுத்தல் தாக்குதல்கள் உண்மையான அமைப்புகளுக்கு சிறிய பயன்பாடுகளைக் கொண்டிருக்கவில்லை.
அதே நேரத்தில், http சேவையகம் இயங்கும் பயனரால் படிக்கக்கூடிய தன்னிச்சையான கணினி கோப்புகள் மற்றும் இணைய ஸ்கிரிப்ட்களின் மூல உரைகளின் உள்ளடக்கங்களைப் பெறுவதற்கான தாக்குதல் பொருத்தமானதாகவே உள்ளது. அத்தகைய தாக்குதலை நடத்த, "Cgi-bin" போன்ற "Alias" அல்லது "ScriptAlias" வழிமுறைகளை (DocumentRoot போதாது) பயன்படுத்தி உள்ளமைக்கப்பட்ட ஒரு கோப்பகத்தை தளத்தில் வைத்திருந்தால் போதும்.
சேவையகத்தில் "ஐடி" பயன்பாட்டை இயக்க அனுமதிக்கும் சுரண்டலின் எடுத்துக்காட்டு: curl 'http://192.168.0.1/cgi-bin/.%%32%65/.%%32%65/.%% 32%65/.%% 32%65/.%%32%65/bin/sh' —data 'echo Content-Type: text/plain; எதிரொலி; id' uid=1(டீமான்) gid=1(டீமான்) குழுக்கள்=1(டீமான்)
/etc/passwd இன் உள்ளடக்கங்கள் மற்றும் இணைய ஸ்கிரிப்ட்களில் ஒன்றைக் காண்பிக்க உங்களை அனுமதிக்கும் சுரண்டல்களின் உதாரணம் (ஸ்கிரிப்ட் குறியீட்டை வெளியிட, ஸ்கிரிப்ட் செயல்படுத்தல் இயக்கப்படாத "Alias" கட்டளையின் மூலம் வரையறுக்கப்பட்ட கோப்பகம் குறிப்பிடப்பட வேண்டும். அடிப்படை கோப்பகமாக): curl 'http://192.168.0.1 .32/cgi-bin/.%%65%32/.%%65%32/.%%65%32/.%%65%32/.% %65%192.168.0.1/etc/passwd' curl 'http: //32/aliaseddir/.%%65%32/.%%65%32/.%%65%32/.%%65%32/. %%65%2/usr/local/apacheXNUMX/cgi -bin/test.cgi'
பிரச்சனை முக்கியமாக Fedora, Arch Linux மற்றும் Gentoo போன்ற தொடர்ச்சியான மேம்படுத்தப்பட்ட விநியோகங்களையும், FreeBSD இன் போர்ட்களையும் பாதிக்கிறது. Debian, RHEL, Ubuntu மற்றும் SUSE ஆகிய பழமைவாத சேவையக விநியோகங்களின் நிலையான கிளைகளில் உள்ள தொகுப்புகள் பாதிப்பால் பாதிக்கப்படாது. "அனைத்தும் மறுக்கப்பட வேண்டும்" அமைப்பைப் பயன்படுத்தி கோப்பகங்களுக்கான அணுகல் வெளிப்படையாக மறுக்கப்பட்டால் சிக்கல் ஏற்படாது.
ஆதாரம்: opennet.ru