Apache http server တွင်အားနည်းချက်တစ်ခုကိုတွေ့သည်

မကြာသေးမီကသတင်းကြောင့်ကြောင်းဖဲ့ Apache http server ကိုတိုက်ခိုက်သော vector အသစ်တစ်ခုကိုတွေ့သည်၂.၄.၅၀ အပ်ဒိတ်တွင်မပြင်ဆင်ဘဲကျန်နေသေးပြီး site ၏ root directory ၏အပြင်ဘက်ရှိနေရာများမှဖိုင်များကိုသုံးခွင့်ပြုသည်။

ထို့ပြင်သုတေသီများ အချို့သောပြင်ဆင်သတ်မှတ်ချက်များရှေ့မှောက်တွင်နည်းလမ်းတစ်ခုကိုရှာတွေ့ခဲ့သည် စံမမီ၊ system file များကိုဖတ်ရုံသာမက run နိုင်သည် အဝေးမှသင်၏ကုဒ်ကို server ပေါ်တွင်

CVE-2021-41773 သည် Apache HTTP Server 2.4.50 တွင်မလုံလောက်ပါ။ တိုက်ခိုက်သူတစ် ဦး သည် Aliases ကဲ့သို့ညွှန်ကြားချက်များဖြင့်စီစဉ်ထားသော directory များ၏အပြင်ဘက်ရှိဖိုင်များကို URL လမ်းကြောင်းညွှန်ပြပေးနိုင်သည်။ ဤလမ်းညွှန်များအပြင်ဘက်ရှိဖိုင်များကိုပုံမှန်ပုံသေ "အားလုံးငြင်းဆိုရန်" ဆက်တင်များဖြင့်ကာကွယ်မထားပါကဤတောင်းဆိုချက်များအောင်မြင်လိမ့်မည်။ CGI scripts များကိုဤ aliased patches များအတွက်ဖွင့်ထားလျှင်၎င်းသည် remote code execution ကိုခွင့်ပြုနိုင်သည်။ ဤပြဿနာသည် Apache 2.4.49 နှင့် Apache 2.4.50 နှင့်အစောပိုင်းဗားရှင်းများတွင်သာသက်ရောက်မှုရှိသည်။

အနှစ်သာရအတွက်ပြဿနာသစ် (CVE-2021-42013 အဖြစ်စာရင်းပေးထားပြီးသား) ၎င်းသည်မူလအားနည်းချက်နှင့်လုံးဝဆင်တူသည် (CVE-2021-41773) မှာ ၂.၄.၄၉၊ တစ်ခုတည်းသောခြားနားချက်မှာကွဲပြားသော character encoding တွင်ဖြစ်သည်။

၎င်းသည်သာကီဝင်၊ ဗားရှင်း ၂.၄.၅၀ တွင် sequence "% 2.4.50e" ကိုသုံးရန်ဖြစ်နိုင်ခြေကိုပိတ်ပင်ထားသည် အမှတ်တစ်ခုကို encode လုပ်ဖို့၊ ဒါပေမယ့်ဟုတ်တယ်e သည် double encoding ၏ဖြစ်နိုင်ခြေကိုဆုံးရှုံးခဲ့သည်။ sequence "%% 32% 65" ကိုသတ်မှတ်ခြင်းအားဖြင့် server သည် "% 2e" တွင် decoded လုပ်ပြီး "။ " ၌ဆိုလိုသည်မှာယခင် "directory" သို့စာလုံးများကို "encoded" အဖြစ် encoding လုပ်နိုင်သည်။ %% ၃၂% ၆၅ / »။

CVE နှစ်ခုလုံးသည်အမှန်အားဖြင့်တူညီသောလမ်းကြောင်း traversal အားနည်းချက် (ဒုတိယသည်ပထမအတွက်မပြည့်စုံသောဖြေရှင်းချက်) Path traversal သည်မြေပုံအမှတ်အသား URI မှသာအလုပ်လုပ်သည် (ဥပမာ Apache "Alias" သို့မဟုတ် "ScriptAlias" directives) မှအလုပ်လုပ်သည်။ DocumentRoot တစ်ခုတည်းနဲ့မလုံလောက်ပါဘူး

အမြတ်ထုတ်မှုနှင့် ပတ်သက်၍ အားနည်းချက်ရှိသည် code execution မှတဆင့်၊ mod_cgi ကိုဖွင့်ထားလျှင်ဒါကဖြစ်နိုင်သည် CGI script များကို run ခွင့်ပြုသောအခြေခံလမ်းကြောင်းကိုအသုံးပြုသည်။

အောင်မြင်သောတိုက်ခိုက်မှုတစ်ခုအတွက်လိုအပ်သောလိုအပ်ချက်သည် / bin ကဲ့သို့သော executable ဖိုင်များနှင့် directory များသို့ Apache configuration access ကိုပြတ်ပြတ်သားသားပေးရန်လည်းဖော်ပြထားသည်။ ထိုကဲ့သို့သော access ကိုပုံမှန်အားဖြင့်မပေးသောကြောင့် code execution attack သည်တကယ့်စနစ်များအတွက်အနည်းငယ်အသုံးဝင်သည်။

တစ်ချိန်တည်းမှာပင်, ဖိုင်အကြောင်းအရာရယူခြင်းကိုတိုက်ခိုက်သည် မတရားသောစနစ်ကုဒ်များနှင့် web script များ၏ရင်းမြစ်စာသားများ အသုံးပြုသူစာဖတ်ခြင်းအတွက်ရရှိနိုင်ပါသည် http server လည်ပတ်နေသည့်အရာသည်ဆက်စပ်နေဆဲဖြစ်သည်။ ထိုကဲ့သို့သောတိုက်ခိုက်မှုမျိုးကိုပြုလုပ်ရန် "cias-bin" ကဲ့သို့ "Alias" သို့မဟုတ် "ScriptAlias" ညွှန်ကြားချက်များကို သုံး၍ ပြင်ဆင်ထားသော site ရှိ directory တစ်ခုထားလိုက်ပါ။

ထို့အပြင်ဤပြဿနာသည် Fedora, Arch Linux နှင့် Gentoo နှင့် FreeBSD ဆိပ်ကမ်းများကဲ့သို့စဉ်ဆက်မပြတ်မွမ်းမံထားသောဖြန့်ဖြူးဖြန့်ချိမှုများ (Rolling Release) ကိုအဓိကထားသည်။

Debian, RHEL, Ubuntu နှင့် SUSE ကဲ့သို့တည်ငြိမ်သော server ဖြန့်ဖြူးမှုများကိုအခြေခံသော Linux ဖြန့်ဖြူးမှုများသည်အားနည်းချက်မရှိပါ။ directory များသို့ ၀ င်ရောက်ခြင်းကိုပြတ်သားစွာငြင်းပယ်ပါကပြသနာအားလုံးမပေါ်ပါ။

ထို့အပြင်ထိုအရာကိုဖော်ပြသင့်သည် အောက်တိုဘာ ၆ ရက်မှ ၇ ရက်အတွင်း Cloudflare သည်အားနည်းချက်အားအသုံးချရန်ကြိုးပမ်းမှု ၃၀၀၀၀၀ ကျော်ကိုမှတ်တမ်းတင်ခဲ့သည် CVE-2021-41773 တစ်နေ့လျှင် အလိုအလျောက်တိုက်ခိုက်မှုများ၏ရလဒ်ကြောင့်အများစုသည် "/cgi-bin/.%2e/.git/config", "/cgi-bin/.%2e/app/etc/local.xml ၏အကြောင်းအရာများကိုတောင်းဆိုကြသည်။ ","/cgi-bin/.% 2e/app/etc/env.php "နှင့်" /cgi-bin/.%2e/%2e%2e/%2e%2e/etc/passwd "

ပြဿနာသည်ဗားရှင်း ၂.၄.၄၉ နှင့် ၂.၄.၅၀ တွင်သာပြသသည်၊ ယခင်အားနည်းချက်များကိုမထိခိုက်ပါ။ အားနည်းချက်၏မူကွဲအသစ်ကိုပြုပြင်ရန် Apache httpd 2.4.49 ကိုလျင်မြန်စွာဖွဲ့စည်းခဲ့သည်။

Finalmente အကယ်၍ သင်က၎င်းအကြောင်းပိုမိုသိရှိလိုလျှင်၊ သင်အသေးစိတ်စစ်ဆေးနိုင်သည် အောက်ပါ link ကိုမှာ။


ဆောင်းပါး၏ပါ ၀ င်မှုသည်ကျွန်ုပ်တို့၏အခြေခံမူများကိုလိုက်နာသည် အယ်ဒီတာအဖွဲ့ကျင့်ဝတ်။ အမှားတစ်ခုကိုသတင်းပို့ရန်ကလစ်နှိပ်ပါ ဒီမှာ.

မှတ်ချက်ပေးရန်ပထမဦးဆုံးဖြစ်

သင်၏ထင်မြင်ချက်ကိုချန်ထားပါ

သင့်အီးမေးလ်လိပ်စာပုံနှိပ်ထုတ်ဝေမည်မဟုတ်ပါ။ တောင်းဆိုနေတဲ့လယ်ယာနှင့်အတူမှတ်သားထားတဲ့ *

*

*

  1. အချက်အလက်အတွက်တာဝန်ရှိသည် - Miguel ÁngelGatón
  2. အချက်အလက်များ၏ရည်ရွယ်ချက်: ထိန်းချုပ်ခြင်း SPAM, မှတ်ချက်စီမံခန့်ခွဲမှု။
  3. တရားဝင်: သင်၏ခွင့်ပြုချက်
  4. အချက်အလက်များ၏ဆက်သွယ်မှု - ဒေတာများကိုဥပဒေအရတာ ၀ န်ယူမှုမှ လွဲ၍ တတိယပါတီများသို့ဆက်သွယ်မည်မဟုတ်ပါ။
  5. ဒေတာသိမ်းဆည်းခြင်း: Occentus ကွန်ယက်များ (အီးယူ) မှလက်ခံသည့်ဒေတာဘေ့စ
  6. အခွင့်အရေး - မည်သည့်အချိန်တွင်မဆိုသင်၏အချက်အလက်များကိုကန့်သတ်၊