Apache web server bug subsidies root-toegang op shared hosting omgevingen

Logo: Apache Software Foundation // Samenstelling: ZDNet

×

apache web-server-logo.png

Deze week, de Apache Software Foundation is gepatcht een ernstige kwetsbaarheid in de Apache (httpd) web server project dat zou kunnen-onder bepaalde omstandigheden-toestaan schurk server-scripts om code uit te voeren met root-privileges en over te nemen van de onderliggende server.

De kwetsbaarheid, bijgehouden, zoals CVE-2019-0211, van invloed is op de Apache web server releases voor Unix-systemen, van 2.4.17 te 2.4.38, en was vast van deze week met de release van versie 2.4.39.

Volgens de Apache team, minder bevoorrechte Apache onderliggende processen (zoals CGI-scripts) kan kwaadaardige code wordt uitgevoerd met de rechten van de bovenliggende proces.

Omdat op de meeste Unix-systemen Apache httpd draait onder de root-gebruiker, een bedreiging acteur die geplant heeft een kwaadaardige CGI-script op een Apache server kan gebruiken CVE-2019-0211 over te nemen van het onderliggende systeem draaien van de Apache httpd proces, en inherent de controle van de gehele machine.

CVE-2019-0211 is een groot probleem voor shared hosting bedrijven

De kwetsbaarheid kan het niet vormen van een onmiddellijke en voelbare dreiging voor ontwikkelaars en bedrijven die hun eigen server-infrastructuur, maar het probleem is een kritieke kwetsbaarheid in shared web hosting omgevingen.

“Eerst en vooral, het is een LOKALE kwetsbaarheid, wat betekent dat je nodig hebt om wat voor soort toegang tot de server” Charles Fol, de security-onderzoeker die het ontdekte kwetsbaarheid vertelde ZDNet in een interview gisteren.

Dit betekent dat de aanvallers hebben om te registreren accounts met shared hosting providers of gevaar voor de bestaande accounts.

Zodra dit gebeurt, de aanvaller moet alleen het uploaden van een kwaadaardige CGI script door hun gehuurde/gecompromitteerde server van het bedieningspaneel om de controle van de hosting provider de server te planten malware of het stelen van gegevens van andere klanten die beschikken over gegevens die zijn opgeslagen op dezelfde machine.

“De web hoster heeft volledige toegang tot de server door middel van de ‘root’ account. Als één van de gebruikers erin slaagt deze kwetsbaarheid meldde ik, hij/zij krijgt de volledige toegang tot de server, net als de web hoster,” Fol zei. “Dit houdt in lezen/schrijven/verwijderen van een bestand/database van de andere klanten.”

Niet-gedeelde Apache servers ook in gevaar

Maar Fol vertelde ook ZDNet dat CVE-2019-0211, alleen al door haar aanwezigheid, automatisch verhoogt een andere server security probleem –zelfs voor Apache web servers, niet een deel van shared hosting omgevingen.

“Voor aanvallers of pentesters, na [ze] compromis van een Apache HTTP server, [zij] in het algemeen krijgen een account met lage bevoegdheden (algemeen, www-data),” Fol zei.

Maar elke directory traversal of tot uitvoering van externe code fout dat kan een aanvaller het uploaden van een CGI-script, dat nu betekent ook automatisch toegang tot de hoofdmap als gevolg van CVE-2019-0211, volgens Fol.

Om deze reden, het patchen van deze fout is een must. In de eerste plaats voor shared hosting provider, en daarna ook voor bedrijven die op Apache draaien op een eigen, niet-gedeelde servers –die echter geconfronteerd met een lager risico van een aanval.

Meer kwetsbaarheid rapporten:

Onderzoeker prints ‘PWNED!’ op honderden GPS-horloges kaarten te wijten aan de niet vastgelegde APICisco mislukte RV320/RV325 patches, routers nog steeds blootgesteld aan hacks
Onderzoekers ontdekken en misbruik van de nieuwe undocumented feature in Intel chipsetsWordPress iOS-app gelekt verificatie tokensZero-dag in WordPress SMTP-plugin misbruikt door twee hacker groupsGoogle correcties Chrome ‘kwaad cursor’ bug misbruikt door de technische support van zwendel sitesDJI correcties kwetsbaarheid waarmee potentiële hackers spy drones op CNETTop 10 app kwetsbaarheden: Ongepatchte plug-ins en extensies domineren TechRepublic

Verwante Onderwerpen:

Datacenters

Beveiliging TV

Data Management

CXO