Apache web server fel bidrag root-åtkomst på delad hosting miljöer

Logotyp: Apache Software Foundation // Sammansättning: ZDNet

×

apache-webbserver-logotyp.png

Denna vecka, Apache Software Foundation har lappat en allvarlig sårbarhet i Apache (httpd) webbserver projekt som kan –under vissa förutsättningar– tillåt falska server-skript för att köra kod med root-privilegier och ta över den underliggande server.

Sårbarheten, spårade som CVE-2019-0211, påverkar Apache web server-versioner för Unix-system, från 2.4.17 att 2.4.38, och var fast den här veckan i och med version 2.4.39.

Enligt Apache-team, mindre privilegierade Apache barn processer (till exempel CGI-skript) kan köra skadlig kod med privilegierna hos den överordnade processen.

Eftersom på de flesta Unix-system Apache httpd går under root-användaren, något hot aktör som har planterat en skadlig CGI-skript på en Apache-server kan använda CVE-2019-0211 att ta över den underliggande system som kör Apache httpd processen, och i sig kontrollera hela maskinen.

CVE-2019-0211 är ett stort problem för delad hosting företag

Sårbarheten kan inte utgöra en omedelbar och påtaglig hot mot företag och utvecklare som kör sin egen server infrastruktur, men frågan är en kritisk sårbarhet inne delad webbhotell miljöer.

“Först av allt, det är en LOKAL sårbarhet, vilket innebär att du måste ha någon form av tillgång till servern,” Charles Föl, säkerhet forskare som upptäckte denna sårbarhet berättade ZDNet i en intervju i går.

Detta innebär att angriparna har antingen att registrera konton med delat webbhotell eller äventyra befintliga konton.

När detta händer, angriparen behöver bara ladda upp en skadlig CGI-skript som via sin hyra/äventyras server kontrollpanel för att ta kontroll över webbhotell server för att plantera skadlig kod eller stjäla data från andra kunder som har data som lagras på samma maskin.

“Webbhotell har total tillgång till servern genom att gå till “root” – kontot. Om en av användarna framgångsrikt utnyttjar det säkerhetsproblem jag rapporterade, han/hon kommer att få full tillgång till servern, precis som webbhotell,” Föl sagt. “Detta innebär att läs/skriv/ta bort filer/databas av andra kunder.”

Icke-delade Apache-servrar också i fara

Men Fol berättade också ZDNet att CVE-2019-0211, bara genom sin närvaro automatiskt förstärker någon annan server security fråga-även för Apache web-servrar inte är en del av delad hosting miljö.

“För angripare eller pentesters, efter [de] kompromiss som en Apache HTTP server, [de] får i allmänhet ett konto med låg privilegier (i allmänhet, www-data),” Vik sa.

Men någon katalogtraversering eller fjärrkörning av kod fel som tillåter en angripare att ladda upp ett CGI-skript, nu också innebär automatisk root-access som en följd av CVE-2019-0211, enligt Fol.

Av denna anledning, korrigerar detta fel är ett måste. Först och främst för delad hosting leverantör, och då också för företag som kör Apache på privat, icke-delade servrar –som dock möta en lägre risk för angrepp.

Mer sårbarhet rapporter:

Forskare skriver “PWNED!” på hundratals GPS-klocka ” kartor på grund av ofixerade APICisco klantade RV320/RV325 fläckar, routrar utsätts fortfarande för att hacka
Forskare upptäcka och övergrepp nya papperslösa har i Intel chipsetsWordPress iOS app läckt autentisering tokensZero-dag i WordPress SMTP-plugin missbrukas av två hacker groupsGoogle fixar Chrome ‘onda markören” bugg missbrukas av teknisk support bluff sitesDJI åtgärdar säkerhetsproblem som gör att hackare spy på drönare CNETTop 10 appen sårbarheter: Unpatched plugins och tillägg dominera TechRepublic

Relaterade Ämnen:

Datacenter

Säkerhet-TV

Hantering Av Data

CXO