calfcrusher/path-traversal-rce-apache-2.4.49-2.4.50-exploitExploit-Tool für Apache 2.4.49-2.4.50 Path Traversal und RCE (CVE-2021-41773, CVE-2021-42013). Scannt URL-Listen, funktioniert mit CGI und Nicht-CGI und automatisiert die Ausnutzung.
Path-Traversal-Angriff und RCE in Apache/2.4.49-2.4.50
-> Nimmt eine Liste von URLs entgegen
-> Funktioniert sowohl für CGI als auch für Nicht-CGI
-> Funktioniert für Apache/2.4.49 - 2.4.50
$ git clone https://github.com/CalfCrusher/Path-traversal-RCE-Apache-2.4.49-2.4.50-Exploit
$ cd Path-traversal-RCE-Apache-2.4.49-2.4.50-Exploit && pip3 install -r requirements.txt
$ python3 main.py urls.txt
Am 5. Oktober 2021 wurde eine CVE veröffentlicht, die einen Path-Traversal-Angriff auf Apache HTTP Server v2.4.49 beschreibt. Sie erhielt die Nummer CVE-2021-41773 und wurde mit der folgenden Beschreibung veröffentlicht:
Es wurde ein Fehler in einer Änderung an der Pfadnormalisierung in Apache HTTP Server 2.4.49 gefunden.
Ein Angreifer könnte einen Path-Traversal-Angriff nutzen, um URLs auf Dateien außerhalb des vorgesehenen Dokumentwurzelverzeichnisses abzubilden. Wenn Dateien außerhalb des Dokumentwurzelverzeichnisses nicht durch "require all denied" geschützt sind, können diese Anfragen erfolgreich sein.
Darüber hinaus (sic) könnte dieser Fehler die Quelle interpretierter Dateien wie CGI-Skripte offenlegen.
Es ist bekannt, dass dieses Problem in freier Wildbahn ausgenutzt wird. Dieses Problem betrifft nur Apache 2.4.49 und nicht frühere Versionen.
Lassen Sie uns das aufschlüsseln und sehen, was das tatsächlich für uns bedeutet:
Aus dem ersten Teil ersehen wir, dass eine kürzliche Änderung den Fehler offengelegt hat. Pfadnormalisierung bedeutet, dass wir einen gegebenen Pfad in eine kanonische Form umwandeln, die die Software verstehen und somit auf das tatsächliche Dateisystem abbilden kann. Dies führt uns bereits zu der Vermutung eines Path-Traversal-Angriffs, der potenziell unbeabsichtigte Dateien lesen kann.
Der nächste Teil bestätigt unsere Vermutungen, und wir sind in der Lage, einen Path-Traversal-Angriff zu nutzen, um Ressourcen außerhalb des vorgesehenen Bereichs zu lesen.
Wir sehen, dass eine sehr spezielle Konfiguration erforderlich ist. Dateien außerhalb des Dokumentwurzelverzeichnisses müssen explizit Berechtigungen erhalten. Dies ist nicht die Standardkonfiguration und sollte diesen Exploit daher gegen einen großen Prozentsatz der Apache-Hosts wirkungslos machen (glücklicherweise).
Der nächste Teil spricht über CGI-Skripte, was uns fälschlicherweise glauben lässt, dass CGI für diesen Angriff aktiviert sein muss oder dass der Pfad in irgendeiner Weise CGI beinhaltet.
Selbst wenn unsere Konfiguration nicht direkt von diesem Fehler betroffen ist, sollten wir die verwundbaren Versionen dennoch so schnell wie möglich aktualisieren.
Zusammenfassend müssen wir, um diese Schwachstelle auszunutzen, eine sehr ungewöhnliche Konfiguration auf unserem Zielserver haben und über einen spezifischen Pfad angreifen. Viel Korrektur später...
Also hat Apache diesen Fehler behoben und v2.4.50 veröffentlicht. Ende der Geschichte, oder? Nun, nicht ganz. Nur 2 Tage später, am 7. Oktober, wurde eine neue CVE veröffentlicht, die sich auf die vorherige bezog. Diese erwähnt, dass die Korrektur für den früheren Path-Traversal-Angriff unvollständig war und wir weiterhin traversieren konnten, wenn der betreffende Pfad eine Alias-Direktive verwendete, um seine URLs auf das Dateisystem abzubilden. Die CVE erhielt die Nummer CVE-2021-42013 mit der folgenden Beschreibung:
Es wurde festgestellt, dass die Korrektur für CVE-2021-41773 in Apache HTTP Server 2.4.50 unzureichend war.
Ein Angreifer könnte einen Path-Traversal-Angriff nutzen, um URLs auf Dateien außerhalb der Verzeichnisse abzubilden, die durch Alias-ähnliche Direktiven konfiguriert sind.
Wenn Dateien außerhalb dieser Verzeichnisse nicht durch die übliche Standardkonfiguration "require all denied" geschützt sind, können diese Anfragen erfolgreich sein.
Wenn CGI-Skripte auch für diese Alias-Pfade (sic) aktiviert sind, könnte dies Remote-Code-Ausführung ermöglichen. Dieses Problem betrifft nur Apache 2.4.49 und Apache 2.4.50 und nicht frühere Versionen.
Wie zuvor können wir hier ein paar Dinge lernen:
Obwohl der erste Exploit angeblich behoben wurde, gibt es eine weitere Eingabe, die die Traversal ermöglicht (merken Sie sich das für später).
Jetzt sind wir auf Alias-Pfad-Direktiven beschränkt.
Verzeichnisse außerhalb der üblichen Pfade erfordern weiterhin explizit erteilte Berechtigungen.
Wenn CGI aktiviert ist, können wir zusätzlich zur einfachen Offenlegung RCE erhalten.
Bitte beachten Sie, dass ich nicht für Schäden und illegale Nutzung verantwortlich bin. Seien Sie kein Idiot!