Спецпроекты

Дыра в знаменитом ПО для серверов позволяет кому угодно стать их администратором

ПО Безопасность

Apache исправил ряд серьезных уязвимостей, наиболее опасная из которых позволяла низкопривилегированным пользователям запускать произвольный код с администраторскими root-правами.

Запускайте на здоровье

Серверы под управлением известного во всем мире ПО Apache версий 2.4.17-2.4.38 обладают серьезной уязвимостью, вследствие которой пользователи с ограниченными привилегиями могут получать администраторский root-доступ к системе.

«В релизах Apache HTTP Server 2.4.17-2.4.38 c модулем мультипроцессовой обработки в вариантах Event, Worker или PreFork запуск кода в контексте дочерних процессов или потоков с более низкими привилегиями (речь идет, в том числе, о запуске скриптов собственным интерпретатором процесса) позволяет запустить произвольный код с привилегиями родительского процесса (обычно с уровнем root) через манипуляции в scoreboard. Системы, не родственные Unix, не затронуты», — говорится в описании проблемы.

Уязвимость, получившая наименование CVE-2019-0211, может стать источником серьезного риска для веб-серверов, используемых для запуска инстансов общего хостинга. При таких условиях пользователи с ограниченными правами могут использовать уязвимость для получения root-привилегий, используя скрипты и запуская команды на уязвимых веб-серверах Apache.

servernaya600.jpg
Баг в Apache позволяет повышать привилегии до root

«Предоставление прав на запись и запуск скриптов в контексте веб-сервера сторонним пользователям часто бывает необходимо, так что это весьма распространенное явление, — указывает Дмитрий Залманов, эксперт по информационной безопасности компании SEC Consult Services. — В этом случае, а также когда появляются уязвимости, позволяющие исполнить произвольный код на веб-сервере, риск становится очень высоким. Выпущенные обновления к Apache рекомендуется установить как можно скорее».

Обновления готовы, подавайте горячими

Проблема была исправлена в версии Apache 2.4.39. Это же обновление устраняет еще две важные уязвимости — CVE-2019-0215 и CVE-2019-0217 — и три других малозначительных бага.

CVE-2019-0215 затрагивает только версии 2.4.37-38. Она позволяет обходить ограничения на доступ, используя баг в mod_ssl. CVE-2019-0217, в свою очередь, затрагивает все версии Apache Server 2.4 ниже 2.4.38. Этот баг, присутствующий в модуле mod_auth_digest, также обеспечивает возможность обходить ограничения на доступ. При определенных условиях пользователь с легитимными реквизитами на доступ может авторизоваться, используя чужое пользовательское имя.



Взгляд месяца

Государство должно получать данные напрямую из информсистем компаний

Савва Шипов

Замминистра Минэкономразвития

Профиль месяца

Нужно ли локализовывать иностранное ПО

Александр Шохин

президент Российского союза промышленников и предпринимателей