Apache исправляет активно эксплуатируемую уязвимость нулевого дня

16
Lyft регистрирует более 4000 случаев сексуального насилия в давно ожидаемом отчете о безопасности

Apache Software Foundation выпустила версию 2.4.50 веб-сервера HTTP для устранения двух уязвимостей, одна из которых связана с активно используемым обходом пути и раскрытием файлов.

HTTP-сервер Apache — это кроссплатформенный веб-сервер с открытым исходным кодом, который чрезвычайно популярен благодаря своей универсальности, надежности и бесплатности. Таким образом, любая уязвимость в продукте имеет широко распространенные последствия .

Активно используемая уязвимость нулевого дня отслеживается как CVE-2021-41773 и позволяет субъектам сопоставлять URL-адреса с файлами за пределами ожидаемого корня документа путем запуска атаки обхода пути.

Атаки с обходом пути включают отправку запросов на доступ к внутренним или конфиденциальным каталогам сервера, которые должны быть вне досягаемости. Обычно эти запросы блокируются, но в этом случае фильтры игнорируются за счет использования кодированных символов (ASCII) для URL-адресов.

Кроме того, использование этой уязвимости может привести к утечке источника интерпретируемых файлов, таких как сценарии CGI.

Чтобы атака сработала, цель должна запустить Apache HTTP Server 2.4.49, а также должен иметь отключенный параметр управления доступом «Требовать все отклонено». К сожалению, это конфигурация по умолчанию.

Более ранние версии Apache Server или версии с другой конфигурацией доступа не подвержены этой уязвимости.

После обнаружения уязвимости исследователи безопасности смогли воспроизвести уязвимость и предупредили, что администраторы должны немедленно исправить.

Поиск с помощью Shodan показал, что в сети существует более сотни тысяч развертываний Apache HTTP Server 2.4.49, многие из которых могут быть уязвимы для использования, поэтому обновление вашего программного обеспечения как можно скорее следует считать неотложным.

Уязвимость была обнаружена и сообщена Apache исследователем безопасности Эшем Долтоном и командой безопасности cPanel 29 сентября 2021 года. Поскольку уязвимость активно использовалась, исправление для нее появилось довольно быстро.

На данный момент неизвестно, как уязвимость используется в атаках. Когда мы попросили Apache предоставить дополнительную информацию, они отправили BleepingComputer следующее заявление:

Поскольку Apache HTTP Server 2.4.49 был выпущен всего несколько недель назад, вероятно, многие пользователи еще не обновились. Если и как эта проблема может быть использована, во многом зависит от того, как пользователи настроят сервер. Если вы используете версию 2.4.49, рекомендуется обновить ее до последней версии вместо того, чтобы использовать конфигурацию управления доступом в качестве средства защиты. При установке по умолчанию злоумышленник все еще может использовать уязвимость для получения исходного кода интерпретируемых файлов, таких как сценарии CGI.

Вторая уязвимость — CVE-2021-41524, разыменование нулевого указателя, обнаруженное во время обработки запроса HTTP / 2. Этот недостаток позволяет злоумышленнику выполнить атаку отказа в обслуживании (DoS) на сервере.

Этот недостаток также существует только в Apache Server версии 2.4.49, но не подвергается активной эксплуатации. Он был обнаружен три недели назад, исправлен в конце прошлого месяца и теперь включен в версию 2.4.50.

ОСТАВЬТЕ ОТВЕТ

Please enter your comment!
Please enter your name here