سوءاستفاده مهاجمان از آسیب‌پذیری روز صفر در سرورهای آپاچی

بنیاد نرم‌افزاری آپاچی (Apache Software Foundation) با انتشار نسخه ۲,۴.۵۰ برای Apache HTTP Server دو آسیب‌پذیری را در نسخه قبلی این محصول برطرف کرده است.

به گزارش فاواپرس به نقل از مرکز مدیریت راهبردی افتا، یکی از آسیب‌پذیری‌های مذکور که به طور فعال مورد سوءاستفاده مهاجمان قرار گرفته است، ضعفی از نوع Path Traversal با شناسه CVE-۲۰۲۱-۴۱۷۷۳ است که بهره‌جویی از آن می‌تواند منجر به افشای برخی داده‌های حساس شود.
Apache HTTP Server یک سرور وب متن‌باز (Open Source) و چند بستری است که به دلیل قابلیت‌های گسترده و رایگان بودن آن به طور گسترده مورداستفاده قرار می‌گیرد. به دلیل همین استفاده انبوه، وجود هرگونه ضعف امنیتی در محصول مذکور می‌تواند پیامدهای گسترده‌ای در جهان داشته باشد.
در حملات Path Traversal درخواست‌هایی جهت دسترسی به Back-end یا پوشه‌های حساس سرور که باید غیرقابل‌دسترس باشند، ارسال می‌شود. به طور معمول، این درخواست‌ها باید مسدود شوند؛ اما در این حمله با استفاده از کاراکترهای رمزگذاری شده مبتنی بر ASCII در نشانی‌های URL، عملیات مسدودسازی بی‌اثر می‌شود. علاوه بر این، سوءاستفاده از این ضعف امنیتی ممکن است منجر به نشت منبع فایل‌های به‌اصطلاح تفسیر شده (Interpreted) مانند اسکریپت‌های CGI شود.
این حمله فقط بر روی Apache HTTP Server نسخه ۲,۴.۴۹ که پارامتر کنترل دسترسی “Require all denied” آن غیرفعال باشد قابل‌اجراست. متأسفانه به نظر می‌رسد در پیکربندی پیش‌فرض این پارامتر غیرفعال است. نسخه‌های قبلی Apache Server یا نسخه‌هایی که دسترسی به پارامتر مذکور به‌گونه‌ای متفاوت پیکربندی شده است در برابر این ضعف امنیتی آسیب‌پذیر نیستند.
از زمان افشای این آسیب‌پذیری، محققان امنیتی توانسته‌اند آن را بازتولید کنند و هشدار داده‌اند که راهبران امنیتی بلافاصله ضعف امنیتی مذکور را وصله کنند.
بر اساس آمار موتور جستجوی Shodan، بیش از صدهزار Apache HTTP Server نسخه ۲,۴.۴۹ بر روی اینترنت قابل‌دسترس هستند که هر یک از آنها می‌توانند در معرض سوءاستفاده قرار بگیرند.
این آسیب‌پذیری توسط یک محقق امنیتی در ۷ مهر ۱۴۰۰ کشف و به بنیاد نرم‌افزاری آپاچی گزارش شد. در تاریخ ۱۲ مهر نیز بنیاد آپاچی با انتشار نسخه ۲,۴.۵۰ آن را وصله کرد.
هنوز مشخص نیست که چگونه مهاجمان در حملات خود از این آسیب‌پذیری سوءاستفاده می‌کنند.
آپاچی معتقد است نحوه سوءاستفاده مهاجمان از این ضعف امنیتی بستگی زیادی به نحوه پیکربندی محصول توسط راهبران دارد. این شرکت به راهبران امنیتی توصیه نموده که اگر از نسخه ۲,۴.۴۹ استفاده می‌کنند، به‌جای تنظیم کنترل دسترسی به پارامتر مذکور جهت کاهش این تهدیدات، Apache Server خود را به آخرین نسخه یعنی ۲.۴.۵۰ ارتقا دهند.
آسیب‌پذیری دوم نیز ضعفی شناسه CVE-۲۰۲۱-۴۱۵۲۴ است که سوءاستفاده از آن امکان انجام حملات منع سرویس (Denial-of-Service – به‌اختصار DoS) بر ضد سرور را برای مهاجم فراهم می‌کند.
این آسیب‌پذیری نیز فقط در Apache Server نسخه ۲,۴.۴۹ وجود دارد و علی‌رغم اینکه سه هفته از تاریخ کشف آن می‌گذرد هنوز گزارشی مبنی بر سوءاستفاده از آن منتشر نشده است. CVE-۲۰۲۱-۴۱۵۲۴ نیز در نسخه ۲.۴.۵۰ رفع شده است.

 

مطالب مرتبط
ارسال یک پاسخ

نشانی رایانامه‌ی شما منتشر نخواهد شد.