Спецпроекты

Через дыру в популярном веб-сервере можно овладеть чужой Linux

2006
ПО Безопасность Бизнес

Apache исправил ряд серьезных уязвимостей, наиболее опасная из которых позволяла низкопривилегированным пользователям запускать произвольный код с root-правами.

Запускайте на здоровье

Серверы под управлением Apache версий 2.4.17-2.4.38 обладают серьезной уязвимостью, вследствие которой пользователи с ограниченными привилегиями могут получать root-доступ к системе.

«В релизах ApacheHTTPServer 2.4.17-2.4.38 c модулем мультипроцессовой обработки в вариантах Event, Worker или PreFork запуск кода в контексте дочерних процессов или потоков с более низкими привилегиями (речь идет, в том числе, о запуске скриптов собственным интерпретатором процесса) позволяет запустить произвольный код с привилегиями родительского процесса (обычно с уровнем root) через манипуляции в scoreboard. Системы, не родственные Unix, не затронуты», — говорится в описании проблемы.

Уязвимость, о которой идет речь, — CVE-2019-0211 — может стать источником серьезного риска для веб-серверов, используемых для запуска инстансов общего хостинга: при таких условиях пользователи с ограниченными правами могут использовать уязвимость для получения root-привилегий, используя скрипты и запуская команды на уязвимых веб-серверах Apache.

haker600.jpg
Баг в Apache позволяет повышать привилегии до root

«Предоставление прав на запись и запуск скриптов в контексте веб-сервера сторонним пользователям часто бывает необходимо, так что это весьма распространенное явление, — указывает Дмитрий Залманов, эксперт по информационной безопасности компании SECConsultServices. — В этом случае, а также когда появляются уязвимости, позволяющие исполнить произвольный код на веб-сервере, риск становится очень высоким. Выпущенные обновления к Apache рекомендуется установить как можно скорее».

Обновления готовы, подавайте горячими

Проблема исправлена в версии Apache 2.4.39. Это же обновление устраняет еще две важные уязвимости — CVE-2019-0215 и CVE-2019-0217 — и три другие, уже малозначительные бага.

CVE-2019-0215 затрагивает только версии 2.4.37-38: она позволяет обходить ограничения на доступ, используя баг в mod_ssl. CVE-2019-0217, в свою очередь, затрагивает все версии ApacheServer 2.4 ниже 2.4.38. Этот баг — присутствующий в модуле mod_auth_digest — также обеспечивает возможность обходить ограничения на доступ. При определенных условиях пользователь с легитимными реквизитами на доступ может авторизоваться, используя чужое пользовательское имя.



Взгляд месяца

Идея внутренней разработки себя не оправдала

Наталия Оржевская

директор центра управления командами, «Диасофт»

Стратегия месяца

Периферийные вычисления перемещаются в центр внимания