Atopouse unha vulnerabilidade no servidor http de Apache

Recentemente saíu a noticia atopou un novo vector de ataque contra o servidor http de Apache, que permaneceu sen parches na actualización 2.4.50 e permite o acceso a ficheiros desde áreas fóra do directorio raíz do sitio.

Ademais, os investigadores atoparon un xeito que, en presenza de certas configuracións non estándar, non só le os ficheiros do sistema, senón tamén executa remotamente o seu código no servidor.

CVE-2021-41773 no servidor HTTP Apache 2.4.50 foi insuficiente. Un atacante podería usar un ataque de percorrido de ruta para asignar URL a ficheiros fóra dos directorios configurados por directivas similares a Alias. Se os ficheiros fóra destes directorios non están protexidos pola configuración predeterminada habitual "requiren todas as denegacións", estas peticións poden ter éxito. Se os scripts CGI tamén están habilitados para estes parches aliados, isto podería permitir a execución de código remoto. Este problema só afecta a Apache 2.4.49 e Apache 2.4.50 e non a versións anteriores.

En esencia, o novo problema (xa aparece como CVE-2021-42013) é completamente similar á vulnerabilidade orixinal (CVE-2021-41773) no 2.4.49, a única diferenza está nunha codificación de caracteres diferente.

E é que en particular, na versión 2.4.50 bloqueouse a posibilidade de usar a secuencia "% 2e" para codificar un punto, pero siPerdín a posibilidade de codificar dobre: Ao especificar a secuencia "%% 32% 65", o servidor descodificouse en "% 2e" e despois en ".", É dicir, Os caracteres "../" para ir ao directorio anterior pódense codificar como ". %% 32% 65 / ».

Ambas as CVE son de feito case a mesma vulnerabilidade de percorrido do camiño (a segunda é a corrección incompleta para a primeira). O percorrido do camiño só funciona desde un URI mapeado (por exemplo, a través das directivas Apache "Alias" ou "ScriptAlias"). DocumentRoot só non é suficiente

En canto á explotación dunha vulnerabilidade a través da execución de código, isto é posible se mod_cgi está activado e úsase un camiño base no que se permiten executar scripts CGI (por exemplo, se a directiva ScriptAlias ​​está activada ou se especifica a bandeira ExecCGI na directiva Options).

Menciónase que un requisito previo para un ataque exitoso tamén é proporcionar de xeito explícito na configuración de Apache acceso a directorios con ficheiros executables, como / bin ou acceso á raíz FS "/". Dado que normalmente non se ofrece tal acceso, un ataque de execución de código de pouco serve para os sistemas reais.

Ao mesmo tempo, o ataque á obtención de contido de ficheiro códigos de sistema arbitrarios e textos fonte de scripts web que están dispoñibles para a lectura do usuario baixo o cal se está a executar o servidor http aínda é relevante. Para levar a cabo este ataque, simplemente tes un directorio no sitio configurado usando as directivas "Alias" ou "ScriptAlias" (DocumentRoot non é suficiente), como "cgi-bin".

Ademais diso, menciona que o problema afecta principalmente ás distribucións actualizadas continuamente (Rolling Releases) como Fedora, Arch Linux e Gentoo, así como aos portos FreeBSD.

Mentres que as distribucións de Linux baseadas en ramas estables de distribucións de servidores como Debian, RHEL, Ubuntu e SUSE non son vulnerables. O problema non aparece se o axuste »requirir todo denegado» denega de xeito explícito o acceso aos directorios.

Tamén paga a pena mencionalo Os días 6 e 7 de outubro, Cloudflare rexistrou máis de 300 intentos de explotar a vulnerabilidade CVE-2021-41773 por día. A maioría das veces, como resultado de ataques automatizados, solicitan o contido de "/cgi-bin/.%2e/.git/config", "/cgi-bin/.%2e/app/etc/local.xml "," /Cgi-bin/.% 2e / app / etc / env.php "e" /cgi-bin/.%2e/%2e%2e/%2e%2e/etc/passwd ".

O problema só se manifesta nas versións 2.4.49 e 2.4.50, as versións anteriores da vulnerabilidade non se ven afectadas. Para corrixir a nova variante da vulnerabilidade, formouse rapidamente a versión Apache httpd 2.4.51.

Finalmente Se estás interesado en saber máis sobre el, podes consultar os detalles Na seguinte ligazón.


O contido do artigo adhírese aos nosos principios de ética editorial. Para informar dun erro faga clic en aquí.

Sexa o primeiro en opinar sobre

Deixa o teu comentario

Enderezo de correo electrónico non será publicado. Os campos obrigatorios están marcados con *

*

*

  1. Responsable dos datos: Miguel Ángel Gatón
  2. Finalidade dos datos: controlar SPAM, xestión de comentarios.
  3. Lexitimación: o seu consentimento
  4. Comunicación dos datos: os datos non serán comunicados a terceiros salvo obrigación legal.
  5. Almacenamento de datos: base de datos aloxada por Occentus Networks (UE)
  6. Dereitos: en calquera momento pode limitar, recuperar e eliminar a súa información.