Apache 2.4.50 HTTP سرور کے لیے ایک فوری اپ ڈیٹ بنایا گیا ہے، جو پہلے سے فعال طور پر استعمال شدہ 0 دن کے خطرے (CVE-2021-41773) کو ختم کرتا ہے، جو سائٹ کی روٹ ڈائرکٹری سے باہر کے علاقوں سے فائلوں تک رسائی کی اجازت دیتا ہے۔ کمزوری کا استعمال کرتے ہوئے، صوابدیدی سسٹم فائلوں اور ویب اسکرپٹس کے سورس ٹیکسٹس کو ڈاؤن لوڈ کرنا ممکن ہے، جسے وہ صارف پڑھ سکتا ہے جس کے تحت HTTP سرور چل رہا ہے۔ ڈویلپرز کو 17 ستمبر کو اس مسئلے کے بارے میں مطلع کیا گیا تھا، لیکن نیٹ ورک پر ویب سائٹس پر حملہ کرنے کے لیے استعمال کیے جانے والے خطرے کے کیسز ریکارڈ کیے جانے کے بعد، وہ آج ہی اپ ڈیٹ جاری کرنے میں کامیاب ہوئے۔
خطرے کے خطرے کو کم کرنا یہ ہے کہ مسئلہ صرف حال ہی میں جاری کردہ ورژن 2.4.49 میں ظاہر ہوتا ہے اور اس سے پہلے کی تمام ریلیزز پر کوئی اثر نہیں پڑتا ہے۔ قدامت پسند سرور کی تقسیم کی مستحکم شاخوں نے ابھی تک 2.4.49 ریلیز (Debian, RHEL, Ubuntu, SUSE) کا استعمال نہیں کیا ہے، لیکن اس مسئلے نے Fedora، Arch Linux اور Gento جیسی مسلسل اپ ڈیٹ شدہ تقسیموں کے ساتھ ساتھ FreeBSD کی بندرگاہوں کو متاثر کیا۔
خطرے کی وجہ URIs میں راستوں کو معمول پر لانے کے لیے کوڈ کی دوبارہ تحریر کے دوران متعارف کرائے گئے ایک بگ کی وجہ سے ہے، جس کی وجہ سے کسی راستے میں "%2e" انکوڈ شدہ ڈاٹ کیریکٹر کو معمول پر نہیں لایا جائے گا اگر اس سے پہلے کوئی اور ڈاٹ موجود ہو۔ اس طرح، درخواست میں ترتیب ".%2e/" کی وضاحت کر کے نتیجے میں آنے والے راستے میں خام "../" حروف کو تبدیل کرنا ممکن تھا۔ مثال کے طور پر، "https://example.com/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd" یا "https://example.com/cgi جیسی درخواست -bin/.%2e/%2e%2e/%2e%2e/%2e%2e/etc/hosts" نے آپ کو "/etc/passwd" فائل کے مواد حاصل کرنے کی اجازت دی۔
مسئلہ پیدا نہیں ہوتا ہے اگر ڈائریکٹریز تک رسائی کو واضح طور پر "تمام تردید کی ضرورت" کی ترتیب کا استعمال کرتے ہوئے انکار کر دیا جائے۔ مثال کے طور پر، جزوی تحفظ کے لیے آپ کنفیگریشن فائل میں وضاحت کر سکتے ہیں: تمام تردید کی ضرورت ہے
Apache httpd 2.4.50 HTTP/2021 پروٹوکول کو نافذ کرنے والے ماڈیول کو متاثر کرنے والے ایک اور خطرے (CVE-41524-2) کو بھی ٹھیک کرتا ہے۔ کمزوری نے خصوصی طور پر تیار کردہ درخواست بھیج کر null pointer dereference شروع کرنا ممکن بنایا اور اس عمل کو کریش کر دیا۔ یہ خطرہ بھی صرف ورژن 2.4.49 میں ظاہر ہوتا ہے۔ حفاظتی کام کے طور پر، آپ HTTP/2 پروٹوکول کے لیے سپورٹ کو غیر فعال کر سکتے ہیں۔
ماخذ: opennet.ru