Kritická zraniteľnosť Apache HTTP server

10. októbra 2021

Apache Software Foundation vydala dôležité opravy kritickej zraniteľnosti, ktorá umožňuje potenciálnemu útočníkovi odosielať požiadavky a získať prístup k súborom na backende webového servera. Zraniteľnosť sa nachádza len vo verzii Apache 2.4.49. Úspešným zneužitím zraniteľnosti môže prísť k úniku binárnych súborov ako sú napríklad CGI skripty, či zmapovaniu súborov mimo publikovaných web root súborov. Zraniteľnosť je aktívne zneužívaná útočníkmi. CSIRT.SK odporúča bezodkladnú aktualizáciu zraniteľných systémov.

Opis činnosti:

CVE-2021-41773

Zraniteľnosť web servera Apache verzie 2.4.49 existuje z dôvodu nesprávneho spracovania ASCII znakov v požiadavke HTTP GET pre prechod medzi súbormi publikovanými webovým serverom. Potenciálny útočník sa pomocou manipulovania s premennými využívanými na prechod medzi súbormi, ktoré sú publikované na serveri, môže dostať aj k ľubovoľným nevypublikovaným súborom a adresárom uloženým kdekoľvek v súborovom systéme servera.

Aby potenciálny útočník mohol zraniteľnosť zneužiť, cieľ útoku musí mať deaktivovaný parameter riadenia prístupu k webovému serveru „require all denied“. Zdá sa, že toto nastavenie je deaktivované v predvolenej konfigurácii.

Úspešné zneužitie zraniteľnosti webového serveru Apache by umožnilo potenciálnemu útočníkovi získať prístup k citlivým dátam na backendovej strane servera.