Apache Software Foundation, biri aktif olarak sömürülen bir yol geçişi ve dosya açıklama hatası olan iki güvenlik açığını gidermek için HTTP Web Sunucusunun 2.4.50 sürümünü yayımladı.
Apache HTTP sunucusu, çok yönlü, sağlam ve ücretsiz olmak için son derece popüler olan açık kaynaklı, çapraz platformlu bir web sunucusudur. Bu nedenle, üründeki herhangi bir güvenlik açığı yaygın sonuçlara sahiptir.
Aktif olarak sömürülen sıfır gün güvenlik açığı CVE-2021-41773 olarak izlenir ve aktörlerin, bir yol geçidi başlatarak beklenen belge kökünün dışındaki dosyalara URL'leri eşleştirmesini sağlar.
Yol geçişi saldırıları, erişilebilecek arka taraf veya hassas sunucu dizinlerine erişmek için istekleri göndermeyi içerir. Normal olarak, bu istekler engellenir, ancak bu durumda filtreler, URL'ler için kodlanmış karakterler (ASCII) kullanılarak atlanır.
Ek olarak, bu kusurun sömürüleri CGI komut dosyaları gibi yorumlanan dosyaların kaynağının sızmasına neden olabilir.
Saldırının çalışması için, Hedef'in Apache HTTP Sunucusu 2.4.49'u çalıştırması gerekir ve ayrıca "tüm reddedildi" erişim kontrol parametresinin devre dışı bırakılmasını gerektirmesi gerekir. Ne yazık ki, bu varsayılan yapılandırma gibi görünüyor.
Daha önce Apache sunucusu sürümleri veya farklı bir erişim yapılandırmasına sahip olanlar bu kusura karşı savunmasız değildir.
Güvenlik açığının açıklanmasından bu yana, güvenlik araştırmacıları güvenlik açığını yeniden üretebildiler ve yöneticilerin hemen düzeltilmesi gerektiği konusunda uyardı.
Apache 2.4.49'da Taze CVE-2021-41773 yol geçişi güvenlik açığını yeniden ürettik. Belge kökünün dışındaki dosyalar "tüm reddedildi" ile korunmuyorsa, bu talepler başarılı olabilir. Yama en kısa sürede! https://t.co/6jrbaydbqg pic.twitter.com/ansajszpte
Bir Shodan arama, birçoğu, birçoğu sömürüye karşı savunmasız olabilecek yüz bin Apache HTTP Sunucusu 2.4.49'da dağıtımların bulunduğunu ortaya koydu, bu nedenle yazılımınızı mümkün olan en kısa sürede güncelledi.
Güvenlik açığı, 29 Eylül 2021'de Güvenlik Araştırmacı Ash Daulton ve CPanel Güvenlik Ekibi tarafından Apache'yi keşfedildi ve rapor edildi. Aktif olarak sömürülen bir kusur olmak, bunun için düzeltme oldukça hızlı geldi.
Şu anda, kırılganlığın saldırılarda nasıl kullanıldığı bilinmemektedir. Daha fazla bilgi için Apache istediğimizde, BleepingComputer'ı aşağıdaki ifadeyi gönderdiler:
Apache HTTP sunucusu 2.4.49'u yalnızca birkaç hafta önce serbest bırakıldığı için muhtemel bir çok kullanıcı henüz yükseltmeyecek. Bu sorunun nasıl kullanılabileceği durumunda, kullanıcıların sunucuyu nasıl yapılandıracağına bağlı olarak oldukça bağlıdır. 2.4.49 kullanıyorsanız, erişim kontrolü yapılandırmasını azaltma olarak kullanmak yerine en son sürüme yükseltmeniz önerilir. Varsayılan bir kurulumda, bir saldırgan, CGI komut dosyaları gibi yorumlanan dosyaların kaynak kodunu elde etmek için hala kusuru kullanabilir.
İkinci kırılganlık, CVE-2021-41524'tür, HTTP / 2 istek işlemesi sırasında null pointer türkisi tespit edildi. Bu kusur, bir saldırganın sunucuya bir hizmet reddi (DOS) saldırısı yapmasını sağlar.
Bu kusur sadece Apache Server sürüm 2.4.49'da bulunur, ancak aktif sömürü altında değildir. Üç hafta önce, geçen ayın geç saatlerinde sabitlenmiş ve şimdi 2.4.50 sürümünde dahil edildi.
Yanlış yapılandırılmış Apache hava akımı sunucuları Binlerce kimlik bilgilerini sızdırmaz
Google, iki sıfır günü düzeltmek için acil krom güncellemesini iter
Acil Google Chrome Güncellemesi, vahşi doğada sömürülen sıfır günü düzeltti.
Yeni MacOS sıfır gün böcek saldırganların uzaktan komutları çalıştırmasını sağlar
Yeni Windows Güvenlik Güncellemeleri Ağ Yazdırmayı Break
Kaynak: Bleeping Computer