Apache http सर्वर में एक भेद्यता मिली

हाल ही में खबर है कि तोड़ दिया Apache http सर्वर के खिलाफ एक नया अटैक वेक्टर मिला, जो २.४.५० अद्यतन में पैच रहित रहा और साइट की रूट निर्देशिका के बाहर के क्षेत्रों से फ़ाइल एक्सेस की अनुमति देता है।

इसके अलावा, शोधकर्ताओं एक रास्ता मिल गया है कि, कुछ विन्यासों की उपस्थिति में गैर मानक, न केवल सिस्टम फाइलें पढ़ें, बल्कि चलाएं भी सर्वर पर दूरस्थ रूप से आपका कोड।

Apache HTTP सर्वर 2021 पर CVE-41773-2.4.50 अपर्याप्त था। उपनाम के समान निर्देशों द्वारा कॉन्फ़िगर की गई निर्देशिकाओं के बाहर फ़ाइलों के लिए URL को मैप करने के लिए एक हमलावर पथ ट्रैवर्सल हमले का उपयोग कर सकता है। यदि इन निर्देशिकाओं के बाहर की फ़ाइलें सामान्य डिफ़ॉल्ट "आवश्यक सभी अस्वीकृत" सेटिंग्स द्वारा संरक्षित नहीं हैं, तो ये अनुरोध सफल हो सकते हैं। यदि इन उपनामित पैच के लिए CGI स्क्रिप्ट भी सक्षम हैं, तो यह दूरस्थ कोड निष्पादन की अनुमति दे सकता है। यह समस्या केवल Apache 2.4.49 और Apache 2.4.50 को प्रभावित करती है न कि पुराने संस्करणों को।

संक्षेप में, नई समस्या (पहले से ही CVE-2021-42013 के रूप में सूचीबद्ध) यह पूरी तरह से मूल भेद्यता के समान है (सीवीई-२०२१-४१७७३) २.४.४९ पर, केवल अंतर एक अलग वर्ण एन्कोडिंग में है।

और वह यह है कि विशेष रूप से, संस्करण २.४.५० में अनुक्रम "% 2.4.50e" का उपयोग करने की संभावना अवरुद्ध थी एक बिंदु को एन्कोड करने के लिए, लेकिन हाँe ने डबल एन्कोडिंग की संभावना खो दी: अनुक्रम "%% 32% 65" निर्दिष्ट करते समय, सर्वर "% 2e" में डीकोड किया गया, और फिर "।" में, यानी पिछली निर्देशिका में जाने के लिए वर्ण "../" को "के रूप में एन्कोड किया जा सकता है। %% 32% 65 / ».

दोनों सीवीई वास्तव में लगभग एक ही पथ ट्रैवर्सल भेद्यता हैं (दूसरा पहले के लिए अधूरा फिक्स है)। पथ ट्रैवर्सल केवल मैप किए गए यूआरआई से काम करता है (उदाहरण के लिए, अपाचे "उपनाम" या "स्क्रिप्टअलियास" निर्देशों के माध्यम से)। DocumentRoot अकेले पर्याप्त नहीं है

भेद्यता के शोषण के संबंध में कोड निष्पादन के माध्यम से, यह संभव है अगर mod_cgi सक्षम है और एक आधार पथ का उपयोग किया जाता है जिसमें CGI स्क्रिप्ट को चलने की अनुमति होती है (उदाहरण के लिए, यदि ScriptAlias ​​​​निर्देश सक्षम है या ExecCGI ध्वज विकल्प निर्देश में निर्दिष्ट है)।

यह उल्लेख किया गया है कि एक सफल हमले के लिए एक शर्त यह भी स्पष्ट रूप से अपाचे कॉन्फ़िगरेशन में निष्पादन योग्य फ़ाइलों के साथ निर्देशिकाओं तक पहुंच प्रदान करना है, जैसे / बिन, या एफएस रूट "/" तक पहुंच। चूंकि इस तरह की पहुंच सामान्य रूप से प्रदान नहीं की जाती है, इसलिए वास्तविक सिस्टम के लिए कोड निष्पादन हमले का बहुत कम उपयोग होता है।

एक ही समय में, फ़ाइल सामग्री प्राप्त करने पर हमला मनमाना सिस्टम कोड और वेब स्क्रिप्ट के स्रोत टेक्स्ट जो उपयोगकर्ता पढ़ने के लिए उपलब्ध हैं जिसके तहत http सर्वर चल रहा है वह अभी भी प्रासंगिक है। इस तरह के हमले को अंजाम देने के लिए, बस "एलियास" या "स्क्रिप्टअलियास" निर्देशों (डॉक्यूमेंटरूट पर्याप्त नहीं है), जैसे "सीजीआई-बिन" का उपयोग करके कॉन्फ़िगर की गई साइट पर एक निर्देशिका है।

इसके अलावा, उन्होंने उल्लेख किया कि समस्या मुख्य रूप से लगातार अद्यतन वितरण (रोलिंग रिलीज़) जैसे फेडोरा, आर्क लिनक्स और जेंटू, साथ ही फ्रीबीएसडी पोर्ट को प्रभावित करती है।

जबकि डेबियन, आरएचईएल, उबंटू और एसयूएसई जैसे सर्वर वितरण की स्थिर शाखाओं पर आधारित लिनक्स वितरण असुरक्षित नहीं हैं। समस्या प्रकट नहीं होती है यदि निर्देशिकाओं तक पहुंच स्पष्ट रूप से »सभी अस्वीकृत की आवश्यकता है« सेटिंग द्वारा अस्वीकार कर दी गई है।

यह भी उल्लेखनीय है कि 6-7 अक्टूबर को, Cloudflare ने भेद्यता का फायदा उठाने के लिए 300 से अधिक प्रयास दर्ज किए सीवीई-2021-41773 प्रति दिन। अधिकांश समय, स्वचालित हमलों के परिणामस्वरूप, वे "/cgi-bin/.%2e/.git/config", "/cgi-bin/.%2e/app/etc/local.xml की सामग्री का अनुरोध करते हैं। " , "/Cgi-bin/.% 2e / app / etc / env.php" और "/cgi-bin/.%2e/%2e%2e/%2e%2e/etc/passwd"।

समस्या केवल 2.4.49 और 2.4.50 संस्करणों में प्रकट होती है, भेद्यता के पिछले संस्करण प्रभावित नहीं होते हैं। भेद्यता के नए संस्करण को ठीक करने के लिए, Apache httpd 2.4.51 रिलीज़ को जल्दी से बनाया गया था।

अंत में यदि आप इसके बारे में अधिक जानने में रुचि रखते हैं, आप विवरण देख सकते हैं निम्नलिखित लिंक में


पहली टिप्पणी करने के लिए

अपनी टिप्पणी दर्ज करें

आपका ईमेल पता प्रकाशित नहीं किया जाएगा। आवश्यक फ़ील्ड के साथ चिह्नित कर रहे हैं *

*

*

  1. डेटा के लिए जिम्मेदार: मिगुएल elngel Gatón
  2. डेटा का उद्देश्य: नियंत्रण स्पैम, टिप्पणी प्रबंधन।
  3. वैधता: आपकी सहमति
  4. डेटा का संचार: डेटा को कानूनी बाध्यता को छोड़कर तीसरे पक्ष को संचार नहीं किया जाएगा।
  5. डेटा संग्रहण: ऑकेंटस नेटवर्क्स (EU) द्वारा होस्ट किया गया डेटाबेस
  6. अधिकार: किसी भी समय आप अपनी जानकारी को सीमित, पुनर्प्राप्त और हटा सकते हैं।