calfcrusher/path-traversal-rce-apache-2.4.49-2.4.50-exploitأداة استغلال لثغرة اجتياز المسار وتنفيذ الأوامر عن بُعد في Apache 2.4.49-2.4.50 (CVE-2021-41773, CVE-2021-42013). تقوم بفحص قوائم العناوين URL، وتعمل مع CGI وغير CGI، وتؤتمت عملية الاستغلال.
هجوم اجتياز المسار وتنفيذ الأوامر عن بُعد في Apache/2.4.49-2.4.50
-> قبول قائمة من الروابط
-> يعمل لكل من CGI وغير CGI
-> يعمل مع Apache/2.4.49 - 2.4.50
$ git clone https://github.com/CalfCrusher/Path-traversal-RCE-Apache-2.4.49-2.4.50-Exploit
$ cd Path-traversal-RCE-Apache-2.4.49-2.4.50-Exploit && pip3 install -r requirements.txt
$ python3 main.py urls.txt
في الخامس من أكتوبر 2021، تم نشر CVE يوضح هجوم اجتياز المسار على خادم Apache HTTP Server الإصدار 2.4.49. تم تخصيص الرقم CVE-2021-41773 له، وتم نشره مع الوصف التالي:
تم العثور على خلل في تغيير تم إجراؤه على تطبيع المسار في Apache HTTP Server 2.4.49.
يمكن للمهاجم استخدام هجوم اجتياز المسار لربط عناوين URL بملفات خارج جذر المستندات المتوقع. إذا لم تكن الملفات خارج جذر المستندات محمية بواسطة "require all denied"، فقد تنجح هذه الطلبات.
بالإضافة إلى ذلك، قد يؤدي هذا الخلل إلى تسريب مصدر الملفات المفسَّرة مثل نصوص CGI.
من المعروف أن هذه المشكلة يتم استغلالها في البرية. تؤثر هذه المشكلة فقط على Apache 2.4.49 وليس الإصدارات الأقدم.
دعونا نحلل هذا ونرى ما يعنيه فعليًا بالنسبة لنا:
من الجزء الأول، نرى أن تغييرًا حديثًا كشف الخلل. تطبيع المسار يعني أننا نحول مسارًا معينًا إلى شكل أساسي يمكن للبرنامج فهمه، وبالتالي ربطه بنظام الملفات الفعلي. هذا يقودنا بالفعل إلى الاشتباه في هجوم اجتياز المسار الذي قد يقرأ ملفات غير مقصودة.
الجزء التالي يؤكد شكوكنا، ونحن قادرون على استخدام هجوم اجتياز المسار لقراءة موارد خارج النطاق المقصود.
نرى أننا نحتاج إلى تكوين محدد جدًا. يجب منح أذونات صراحة للملفات خارج جذر المستندات. هذا ليس التكوين الافتراضي وبالتالي يجب أن يجعل هذا الاستغلال عديم الفائدة ضد نسبة كبيرة من مضيفات Apache (لحسن الحظ).
الجزء التالي يتحدث عن نصوص CGI، مما يقودنا خطأً إلى الاعتقاد بأن CGI قد تحتاج إلى التفعيل لكي يعمل هذا الهجوم أو أن المسار يتضمن CGI بطريقة ما.
حتى لو لم يتأثر تكويننا مباشرة بهذا الخلل، فسنظل نرغب في تحديث الإصدارات المعرضة للخطر في أقرب وقت ممكن.
لتلخيص ذلك، من أجل استغلال هذه الثغرة، سنحتاج إلى تكوين غير معتاد جدًا على الخادم المستهدف، والهجوم عبر مسار محدد. الكثير من الإصلاحات لاحقًا...
لذا قامت Apache بإصلاح هذا الخلل وأصدرت الإصدار 2.4.50. نهاية القصة، أليس كذلك؟ حسنًا، ليس تمامًا. بعد يومين فقط، في السابع من أكتوبر، تم نشر CVE جديد يشير إلى السابق. يذكر هذا أن إصلاح هجوم اجتياز المسار السابق كان غير مكتمل، وما زلنا نستطيع الاجتياز إذا كان المسار المعني يستخدم توجيه alias لربط عناوين URL الخاصة به بنظام الملفات. تم تخصيص الرقم CVE-2021-42013 لهذا CVE، مع الوصف التالي:
تم العثور على أن إصلاح CVE-2021-41773 في Apache HTTP Server 2.4.50 كان غير كافٍ.
يمكن للمهاجم استخدام هجوم اجتياز المسار لربط عناوين URL بملفات خارج الدلائل المكونة بواسطة توجيهات مشابهة لـ Alias.
إذا لم تكن الملفات خارج هذه الدلائل محمية بالتكوين الافتراضي المعتاد "require all denied"، فقد تنجح هذه الطلبات.
إذا تم أيضًا تفعيل نصوص CGI لهذه المسارات المستعارة، فقد يسمح ذلك بتنفيذ الأوامر عن بُعد. تؤثر هذه المشكلة فقط على Apache 2.4.49 و Apache 2.4.50 وليس الإصدارات الأقدم.
كما في السابق، يمكننا تعلم بعض الأشياء هنا:
بينما تم إصلاح الاستغلال الأول بشكل مفترض، هناك مدخل آخر للسماح بالاجتياز بالعمل (تذكر هذا لاحقًا).
الآن نحن مقيدون بتوجيهات المسارات المستعارة.
الدلائل خارج المسارات المعتادة لا تزال تتطلب منح أذونات صريحة.
إذا تم تفعيل CGI، فيمكننا الحصول على تنفيذ الأوامر عن بُعد بالإضافة إلى الكشف البسيط.
يرجى ملاحظة أنني لست مسؤولًا عن أي أضرار أو استخدام غير قانوني. لا تكن أحمقًا!