अपाचे http सर्वर मा एक भेद्यता भेटियो

भर्खरको समाचारले त्यो बिगारेको छ अपाचे http सर्वर को बिरुद्ध एक नयाँ हमला वेक्टर भेटियो, जो २.४.५० अपडेट मा बिनै रह्यो र साइट को मूल निर्देशिका बाहिर क्षेत्रहरु बाट फाइल पहुँच को अनुमति दिन्छ।

साथै, शोधकर्ताहरु एक तरीका छ कि, केहि कन्फिगरेसन को उपस्थिति मा पाईयो गैर मानक, न केवल प्रणाली फाइलहरु पढ्न, तर पनि चलाउन टाढा सर्भर मा तपाइँको कोड।

CVE-2021-41773 अपाचे HTTP सर्वर 2.4.50 मा अपर्याप्त थियो। एक हमलावर एक पथ ट्रैवर्सल आक्रमण को उपयोग गर्न को लागी यूआरएलहरु को उपनामहरु जस्तै निर्देश द्वारा कन्फिगर निर्देशिकाहरु को बाहिर फाइलहरु मा नक्शा गर्न सक्नुहुन्छ। यदि यी निर्देशिकाहरु बाहिर फाइलहरु सामान्य पूर्वनिर्धारित "सबै अस्वीकृत" सेटिंग्स द्वारा सुरक्षित छैन, यी अनुरोधहरु सफल हुन सक्छन्। यदि CGI स्क्रिप्टहरु यी aliased प्याचहरु को लागी सक्षम छन्, यो रिमोट कोड कार्यान्वयन को लागी अनुमति दिन सक्छ। यो मुद्दा मात्र अपाचे २.४.४ 2.4.49 र अपाचे २.४.५० लाई प्रभावित गर्दछ र अघिल्लो संस्करणहरु लाई छैन।

सारमा, नयाँ समस्या (पहिले नै CVE-2021-42013 को रूपमा सूचीबद्ध) यो पुरा तरिकाले मूल भेद्यता जस्तै छ (CVE-2021-41773) २.४.४ at मा, फरक मात्र एक फरक क्यारेक्टर एन्कोडि in मा छ।

र यो हो कि विशेष गरी, संस्करण २.४.५० मा अनुक्रम "% 2.4.50e" को उपयोग को संभावना लाई रोकिएको थियो एक बिन्दु इन्कोड गर्न, तर होई डबल एन्कोडिंग को संभावना हरायो: जब अनुक्रम "%% 32% 65" निर्दिष्ट, सर्वर "% 2e" मा डिकोड, र त्यसपछि "।" मा, त्यो वर्ण "../" अघिल्लो डाइरेक्टरी मा जानको लागी "" को रूपमा एन्कोड गर्न सकिन्छ। %% 32% 65 /।

दुबै CVEs वास्तवमा लगभग एउटै बाटो traversal भेद्यता मा छन् (दोस्रो पहिलो को लागी अपूर्ण फिक्स हो)। पथ traversal मात्र एक नक्शा URI बाट काम गर्दछ (उदाहरण को लागी, अपाचे "उपनाम" वा "ScriptAlias" निर्देशहरु को माध्यम बाट)। DocumentRoot एक्लै पर्याप्त छैन

एक जोखिम को शोषण को बारे मा कोड कार्यान्वयन को माध्यम बाट, यो सम्भव छ यदि mod_cgi सक्षम छ र एक आधार पथ प्रयोग गरीन्छ जसमा CGI स्क्रिप्टहरु चलाउन को लागी अनुमति छ (उदाहरण को लागी, यदि ScriptAlias ​​निर्देश सक्षम छ वा ExecCGI झण्डा विकल्प निर्देश मा निर्दिष्ट गरिएको छ)।

यो उल्लेख गरिएको छ कि एक सफल हमला को लागी एक शर्त पनि स्पष्ट रूप बाट अपाचे कन्फिगरेसन मा एक्जीक्यूटेबल फाइलहरु, जस्तै / बिन, वा FS रूट " /" को उपयोग संग निर्देशिकाहरु को लागी पहुँच प्रदान गर्न को लागी हो। चूंकि यस्तो पहुँच सामान्यतया प्रदान गरीएको छैन, एक कोड निष्पादन हमला वास्तविक प्रणाली को लागी थोरै उपयोग को हो।

एकै समयमा, फाइल सामग्री प्राप्त गर्न मा हमला मनमानी प्रणाली कोड र वेब स्क्रिप्ट को स्रोत पाठ प्रयोगकर्ता पढ्न को लागी उपलब्ध छन् जस अन्तर्गत http सर्वर चलिरहेको छ अझै सान्दर्भिक छ। यस्तो हमला गर्न को लागी, बस साइट "" उपनाम "वा" ScriptAlias ​​"निर्देश (DocumentRoot पर्याप्त छैन) जस्तै" cgi- बिन "को रूप मा कन्फिगर साइट मा एक निर्देशिका छ।

यसको अतिरिक्त, उनले उल्लेख गरे कि समस्या मुख्य रूप देखि लगातार अपडेटेड वितरण (रोलिंग रिलीज) जस्तै फेडोरा, आर्क लिनक्स र Gentoo, साथै FreeBSD पोर्टहरु लाई प्रभावित गर्दछ।

जबकि लिनक्स वितरण जो डेबियन, RHEL, Ubuntu र SUSE को रूप मा सर्वर वितरण को स्थिर शाखाहरु मा आधारित छन् कमजोर छैनन्। समस्या देखा पर्दैन यदि निर्देशिकाहरु को उपयोग स्पष्ट रूप बाट denied सबै अस्वीकृत »सेटिंग को उपयोग गरेर अस्वीकार गरीएको छ।

यो पनि उल्लेखनीय छ अक्टोबर -6- On मा, क्लाउडफ्लेयरले ३,००,००० भन्दा बढी को जोखिम को शोषण को लागी रेकर्ड गर्यो CVE-2021-41773 प्रति दिन। अधिकांश समय, स्वचालित हमला को परिणाम को रूप मा, उनीहरु "/cgi-bin/.%2e/.git/config", "/cgi-bin/.%2e/app/etc/local.xml को सामग्री अनुरोध गर्दछन्। "," /Cgi-bin/.% 2e/app/etc/env.php "र" /cgi-bin/.%2e/%2e%2e/%2e%2e/etc/passwd "।

समस्या मात्र संस्करण २.४.४ and र २.४.५० मा प्रकट हुन्छ, जोखिम को अघिल्लो संस्करणहरु प्रभावित छैनन्। भेद्यता को नयाँ संस्करण फिक्स गर्न को लागी, अपाचे httpd 2.4.49 रिलीज छिटो गठन गरीएको थियो।

अन्तिम यदि तपाईं यसको बारेमा बढि जान्न इच्छुक हुनुहुन्छ भने, तपाईं विवरण जाँच गर्न सक्नुहुन्छ तलका लिंकमा।


लेखको सामग्री हाम्रो सिद्धान्तहरूको पालना गर्दछ सम्पादकीय नैतिकता। त्रुटि क्लिक गर्न रिपोर्ट गर्नुहोस् यहाँ.

टिप्पणी गर्न पहिलो हुनुहोस्

तपाइँको टिप्पणी छोड्नुहोस्

तपाईंको ईमेल ठेगाना प्रकाशित हुनेछैन। आवश्यक फिल्डहरू चिन्ह लगाइएको छ *

*

*

  1. डाटाका लागि उत्तरदायी: मिगुएल gelन्गल ग्याटन
  2. डाटाको उद्देश्य: नियन्त्रण स्पाम, टिप्पणी प्रबन्धन।
  3. वैधानिकता: तपाईंको सहमति
  4. डाटाको सञ्चार: डाटा कानुनी बाध्यता बाहेक तेस्रो पक्षलाई सूचित गरिने छैन।
  5. डाटा भण्डारण: डाटाबेस ओसीन्टस नेटवर्क (EU) द्वारा होस्ट गरिएको
  6. अधिकार: कुनै पनि समयमा तपाईं सीमित गर्न सक्नुहुनेछ, पुन: प्राप्ति र तपाईंको जानकारी मेटाउन।