Một bản cập nhật khẩn cấp cho máy chủ http Apache 2.4.50 đã được tạo, giúp loại bỏ lỗ hổng 0 ngày đã được khai thác tích cực (CVE-2021-41773), cho phép truy cập vào các tệp từ các khu vực bên ngoài thư mục gốc của trang web. Khi sử dụng lỗ hổng này, người dùng có thể tải xuống các tệp hệ thống tùy ý và văn bản nguồn của các tập lệnh web mà người dùng đang chạy máy chủ http có thể đọc được. Các nhà phát triển đã được thông báo về sự cố này vào ngày 17 tháng XNUMX, nhưng chỉ có thể phát hành bản cập nhật vào hôm nay, sau khi các trường hợp lỗ hổng này được sử dụng để tấn công các trang web được ghi lại trên mạng.
Giảm thiểu sự nguy hiểm của lỗ hổng là vấn đề chỉ xuất hiện trong phiên bản 2.4.49 mới phát hành gần đây và không ảnh hưởng đến tất cả các bản phát hành trước đó. Các nhánh ổn định của các bản phân phối máy chủ bảo thủ vẫn chưa sử dụng bản phát hành 2.4.49 (Debian, RHEL, Ubuntu, SUSE), nhưng sự cố đã ảnh hưởng đến các bản phân phối được cập nhật liên tục như Fedora, Arch Linux và Gentoo, cũng như các cổng của FreeBSD.
Lỗ hổng này là do một lỗi xuất hiện trong quá trình viết lại mã để chuẩn hóa các đường dẫn trong URI, do đó ký tự dấu chấm được mã hóa "%2e" trong một đường dẫn sẽ không được chuẩn hóa nếu nó đứng trước một dấu chấm khác. Do đó, có thể thay thế các ký tự “../” thô vào đường dẫn kết quả bằng cách chỉ định chuỗi “.%2e/” trong yêu cầu. Ví dụ: một yêu cầu như “https://example.com/cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd” hoặc “https://example.com/cgi -bin /.%2e/%2e%2e/%2e%2e/%2e%2e/etc/hosts" cho phép bạn lấy nội dung của tệp "/etc/passwd".
Sự cố không xảy ra nếu quyền truy cập vào các thư mục bị từ chối rõ ràng bằng cách sử dụng cài đặt “yêu cầu tất cả bị từ chối”. Ví dụ: để bảo vệ một phần, bạn có thể chỉ định trong tệp cấu hình: yêu cầu tất cả bị từ chối
Apache httpd 2.4.50 cũng sửa một lỗ hổng khác (CVE-2021-41524) ảnh hưởng đến mô-đun triển khai giao thức HTTP/2. Lỗ hổng này có thể bắt đầu hủy đăng ký con trỏ null bằng cách gửi một yêu cầu được tạo đặc biệt và khiến quá trình bị lỗi. Lỗ hổng này cũng chỉ xuất hiện ở phiên bản 2.4.49. Để giải quyết vấn đề bảo mật, bạn có thể tắt hỗ trợ cho giao thức HTTP/2.
Nguồn: opennet.ru