Hướng dẫn cập nhật bản vá lỗ hổng CVE-2021-41773 trên Apache HTTP Server

1. Thông tin về lỗ hổng CVE-2021-41773 trên Apache HTTP Server

Apache vừa cho phát hành các bản vá hai lỗ hổng, trong đó lỗi truyền tải đường dẫn và lộ file trong máy chủ (a path traversal and file disclosure flaw – CVE-2021-41773) được đánh giá có khả năng ảnh hưởng tới khoảng hơn 400 máy chủ tại Việt Nam.

​

CVE-2021-41773 tồn tại do một thay đổi về chuẩn hóa đường dẫn trên Apache HTTP Server phiên bản 2.4.49. Hacker có thể thực hiện tấn công truyền tải đường dẫn để “map” các URL đến các tệp bên ngoài thư mục gốc tài liệu dự kiến (expected document root). Nếu các tệp này không được bảo vệ bằng tính năng ‘từ chối tất cả yêu cầu’ (Require all denied) thì hacker có thể dễ dàng truy cập. Ngoài ra, lỗ hổng này cũng có khả năng làm rò rỉ nguồn các tệp thông dịch (interpreted file) như tập lệnh CGI.

CVE-2021-41773 ảnh hưởng đến máy chủ Apache HTTP phiên bản 2.4.49. Lỗ hổng đã được phát hiện và thông báo cho hãng từ 29/9/2021.
Mức độ ảnh hưởng của CVE-2021-41773 tới các máy chủ tại Việt Nam được đánh giá ở mức nguy cơ cao, bởi đây là lỗi có thể làm lộ các thông tin nhạy cảm như: thư mục etc, password, system…Khi kẻ xấu đọc được các thông tin này, chúng có thể dễ dàng thực hiện tấn công hệ thống.

Bên cạnh đó, một lỗ hổng nữa cũng được Apache xử lý là lỗi trong phần mềm con trỏ NULL (CVE-2021-41524), được phát hiện trong quá trình xử lý yêu cầu HTTP/2, cho phép hacker thực hiện tấn công DoS trên máy chủ. Lỗi này đã được xử lý trong phiên bản 2.4.49.
Để đảm bảo an toàn và giảm thiểu rủi ro liên quan đến việc lỗ hổng bị khai thác, bạn cần ngay lập tức rà soát hệ thống và cập nhật bản vá Apache 2.4.50 từ Apache càng sớm càng tốt.

Xem thêm bài viết Apache cảnh báo về việc khai thác lỗi Zero-Day 10/2021

2. Kiểm tra phiên bản Apache HTTP Server đang sử dụng

Nếu web server của bạn đang sử dụng Apache HTTP Server thì có thể sử dụng lệnh bên dưới để kiểm tra phiên bản Apache HTTP Server đang sử dụng

httpd -v

Nếu kết quả trả về Apache/2.4.49 như bên dưới thì bạn cần ngay lập tức cập nhật phiên bản Apache để vá lỗ hổng bảo mật CVE-2021-41773

root@webserver ~]# httpd -v

Server version: Apache/2.4.49 

3. Hướng dẫn cập nhật Apache 2.4.50

3.1 Đối với server CentOS dùng Directadmin

B1. SSH vào server.
B2. Thực hiện lệnh bên dưới
cd /usr/local/directadmin/custombuild
./build update
./build apache
B3. Restart apache
service httpd restart
B4. Kiểm tra lại phiên bản Apache
httpd -v

Nếu kết quả trả về phiên bản 2.4.50 là được

Server version: Apache/2.4.50

3.2 Đối với server CentOS dùng Cpanel WHM

B1. SSH vào server.
B2. Thực hiện lệnh bên dưới

/scripts/upcp

Hoặc lệnh bên dưới nếu chỉ muốn update Apache

yum update ea-apache24 -y

B3. Kiểm tra lại phiên bản Apache
httpd -v

Nếu kết quả trả về phiên bản 2.4.50 là được

Server version: Apache/2.4.50

Thông tin về bản cập nhật Apache vá lỗi bảo mật CVE-2021-41773 của Cpanel WHM

https://forums.cpanel.net/threads/easyapache-4-october-6-release.694309/

Qua bài viết này chúng tôi mong muốn cung cấp cho bạn thông tin về lỗ hổng bảo mật CVE-2021-41773 trên máy chủ Apache HTTP Server 2.4.49 và cách cập nhật bản vá lỗi.

P.A Việt Nam cung cấp đa dạng các cấu hình Máy Chủ Ảo và Máy Chủ Riêng
Cloud Server
Cloud Server Pro
Máy Chủ Riêng

Tham khảo các ưu đãi: https://www.pavietnam.vn/vn/tin-khuyen-mai/