Apache 2.4.50 http సర్వర్‌కు తక్షణ నవీకరణ సృష్టించబడింది, ఇది ఇప్పటికే సక్రియంగా ఉపయోగించబడిన 0-రోజుల దుర్బలత్వాన్ని తొలగిస్తుంది (CVE-2021-41773), ఇది సైట్ యొక్క రూట్ డైరెక్టరీ వెలుపలి ప్రాంతాల నుండి ఫైల్‌లను యాక్సెస్ చేయడానికి అనుమతిస్తుంది. దుర్బలత్వాన్ని ఉపయోగించి, http సర్వర్ అమలులో ఉన్న వినియోగదారు ద్వారా చదవగలిగే వెబ్ స్క్రిప్ట్‌ల యొక్క ఏకపక్ష సిస్టమ్ ఫైల్‌లు మరియు సోర్స్ టెక్స్ట్‌లను డౌన్‌లోడ్ చేయడం సాధ్యపడుతుంది. డెవలపర్‌లకు సెప్టెంబరు 17న సమస్య గురించి తెలియజేయబడింది, అయితే నెట్‌వర్క్‌లో వెబ్‌సైట్‌లపై దాడి చేయడానికి ఉపయోగించే దుర్బలత్వం కేసులు నమోదు చేయబడిన తర్వాత, ఈ రోజు మాత్రమే నవీకరణను విడుదల చేయగలిగారు.
దుర్బలత్వం యొక్క ప్రమాదాన్ని తగ్గించడం ఏమిటంటే, సమస్య ఇటీవల విడుదలైన వెర్షన్ 2.4.49లో మాత్రమే కనిపిస్తుంది మరియు అన్ని మునుపటి విడుదలలను ప్రభావితం చేయదు. సాంప్రదాయిక సర్వర్ పంపిణీల యొక్క స్థిరమైన శాఖలు ఇంకా 2.4.49 విడుదలను ఉపయోగించలేదు (Debian, RHEL, Ubuntu, SUSE), కానీ సమస్య Fedora, Arch Linux మరియు Gentoo వంటి నిరంతరం నవీకరించబడిన పంపిణీలను అలాగే FreeBSD పోర్ట్‌లను ప్రభావితం చేసింది.
URIలలో పాత్‌లను సాధారణీకరించడం కోసం కోడ్‌ను తిరిగి వ్రాసేటప్పుడు ప్రవేశపెట్టిన బగ్ కారణంగా ఈ దుర్బలత్వం ఏర్పడింది, దీని కారణంగా పాత్‌లోని "%2e" ఎన్‌కోడ్ చేసిన డాట్ క్యారెక్టర్‌కు ముందు మరొక డాట్ ఉంటే అది సాధారణీకరించబడదు. అందువల్ల, అభ్యర్థనలో “.%2e/” క్రమాన్ని పేర్కొనడం ద్వారా ఫలిత మార్గంలో ముడి “../” అక్షరాలను భర్తీ చేయడం సాధ్యమైంది. ఉదాహరణకు, “https://example.com/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd” లేదా “https://example.com/cgi వంటి అభ్యర్థన -bin /.%2e/%2e%2e/%2e%2e/%2e%2e/etc/hosts" మీరు "/etc/passwd" ఫైల్ యొక్క కంటెంట్‌లను పొందడానికి అనుమతించారు.
"రిక్వైర్ అన్నింటినీ డిజెక్ట్" సెట్టింగ్‌ని ఉపయోగించి డైరెక్టరీలకు యాక్సెస్ స్పష్టంగా తిరస్కరించబడితే సమస్య ఏర్పడదు. ఉదాహరణకు, పాక్షిక రక్షణ కోసం మీరు కాన్ఫిగరేషన్ ఫైల్‌లో పేర్కొనవచ్చు: అవసరం అన్ని తిరస్కరించబడింది
Apache httpd 2.4.50 HTTP/2021 ప్రోటోకాల్‌ను అమలు చేసే మాడ్యూల్‌ను ప్రభావితం చేసే మరొక దుర్బలత్వాన్ని (CVE-41524-2) కూడా పరిష్కరిస్తుంది. దుర్బలత్వం ప్రత్యేకంగా రూపొందించిన అభ్యర్థనను పంపడం ద్వారా శూన్య పాయింటర్ డిరిఫరెన్స్‌ను ప్రారంభించడం సాధ్యం చేసింది మరియు ప్రక్రియ క్రాష్‌కు దారితీసింది. ఈ దుర్బలత్వం కూడా వెర్షన్ 2.4.49లో మాత్రమే కనిపిస్తుంది. భద్రతా ప్రత్యామ్నాయంగా, మీరు HTTP/2 ప్రోటోకాల్‌కు మద్దతును నిలిపివేయవచ్చు.
మూలం: opennet.ru