Apache cảnh báo về việc khai thác lỗi Zero-Day 10/2021

Apache cảnh báo về việc khai thác lỗi Zero-Day. Hãy cập nhật bản vá cho các máy chủ ngay!!!

Apache đã phát hành các bản vá để giải quyết hai lỗ hổng bảo mật, bao gồm lỗ hổng truyền tải đường dẫn và lỗ hổng tiết lộ tệp trong máy chủ HTTP mà hãng cho biết đang bị khai thác tích cực.

“Một lỗ hổng đã được tìm thấy trong một thay đổi được thực hiện đối với chuẩn hóa đường dẫn trong Apache HTTP Server 2.4.49. Kẻ tấn công có thể sử dụng một cuộc tấn công duyệt qua đường dẫn để ánh xạ URL tới các tệp bên ngoài gốc tài liệu dự kiến”.

Những người bảo trì quản lý dự án mã nguồn mở cần lưu ý đến những thông tin được công bố từ bên thứ ba
https://httpd.apache.org/security/vulnerabilities_24.html

“Nếu các tệp bên ngoài gốc tài liệu không được bảo vệ bởi ‘require all denied’, các yêu cầu này có thể thành công. Ngoài ra, lỗ hổng này có thể làm rò rỉ nguồn của các tệp được thông dịch như tập lệnh CGI.

Lỗ hổng, được theo dõi là CVE-2021-41773, chỉ ảnh hưởng đến máy chủ Apache HTTP phiên bản 2.4.49. Ash Daulton và Nhóm bảo mật cPanel đã được ghi nhận là đã phát hiện và báo cáo vấn đề vào ngày 29 tháng 9 năm 2021.
https://nvd.nist.gov/vuln/detail/CVE-2021-41773

Cũng được Apache giải quyết là lỗ hổng tham chiếu con trỏ rỗng được quan sát thấy trong quá trình xử lý các yêu cầu HTTP / 2 (CVE-2021-41524), do đó cho phép kẻ thù thực hiện cuộc tấn công từ chối dịch vụ (DoS) trên máy chủ. Tập đoàn phi lợi nhuận cho biết điểm yếu đã được giới thiệu trong phiên bản 2.4.49
https://nvd.nist.gov/vuln/detail/CVE-2021-41524

Người dùng Apache được khuyến nghị nên vá càng sớm càng tốt để ngăn chặn lỗ hổng truyền qua đường dẫn và giảm thiểu mọi rủi ro liên quan đến việc khai thác tích cực lỗ hổng.