calfcrusher/path-traversal-rce-apache-2.4.49-2.4.50-exploitExploit tool para Apache 2.4.49-2.4.50 path traversal y RCE (CVE-2021-41773, CVE-2021-42013). Escanea listas de URL, funciona con CGI y no-CGI, y automatiza la explotación.
Ataque de path traversal y RCE en Apache/2.4.49-2.4.50
-> Toma una lista de urls
-> Funciona tanto para CGI como para no-CGI
-> Funciona para Apache/2.4.49 - 2.4.50
$ git clone https://github.com/CalfCrusher/Path-traversal-RCE-Apache-2.4.49-2.4.50-Exploit
$ cd Path-traversal-RCE-Apache-2.4.49-2.4.50-Exploit && pip3 install -r requirements.txt
$ python3 main.py urls.txt
El 5 de octubre de 2021, se publicó un CVE que detallaba un ataque de path traversal en Apache HTTP Server v2.4.49. Se le asignó el número CVE-2021-41773 y se publicó con la siguiente descripción:
Se encontró una falla en un cambio realizado en la normalización de rutas en Apache HTTP Server 2.4.49.
Un atacante podría usar un ataque de path traversal para mapear URLs a archivos fuera del document root esperado. Si los archivos fuera del document root no están protegidos por "require all denied", estas solicitudes pueden tener éxito.
Además (sic), esta falla podría filtrar el código fuente de archivos interpretados como scripts CGI.
Se sabe que este problema se explota en la naturaleza. Este problema solo afecta a Apache 2.4.49 y no a versiones anteriores.
Desglosemos esto y veamos qué significa realmente para nosotros:
De la primera parte, vemos que un cambio reciente expuso la falla. La normalización de rutas significa que transformamos una ruta dada a alguna forma canónica que el software pueda entender y, por lo tanto, mapear al sistema de archivos real. Esto ya nos lleva a sospechar de un ataque de path traversal que potencialmente puede leer archivos no deseados.
La siguiente parte confirma nuestras sospechas, y podemos usar un ataque de path traversal para leer recursos fuera del alcance previsto.
Vemos que se requiere una configuración muy particular. Los archivos fuera del document root deben tener permisos explícitamente otorgados. Esta no es la configuración predeterminada y, por lo tanto, debería hacer que este exploit sea inútil contra un gran porcentaje de los hosts Apache (afortunadamente).
La siguiente parte habla sobre scripts CGI, lo que erróneamente nos lleva a creer que CGI puede necesitar estar habilitado para que este ataque funcione o que la ruta involucra CGI de alguna manera.
Incluso si nuestra configuración no se ve afectada directamente por este error, igualmente querrás actualizar las versiones vulnerables lo antes posible.
Para resumir, para explotar esta vulnerabilidad, necesitaremos tener una configuración muy inusual en nuestro servidor objetivo y atacar a través de una ruta específica. Mucho Arreglo Después...
Así que Apache arregló este error y lanzó la v2.4.50. Fin de la historia, ¿verdad? Bueno, no exactamente. Solo 2 días después, el 7 de octubre, se publicó un nuevo CVE citando al anterior. Este menciona que el arreglo para el ataque de path traversal anterior era incompleto, y aún podíamos atravesar si la ruta en cuestión usaba una directiva alias para mapear sus URLs al sistema de archivos. Al CVE se le asignó el número CVE-2021-42013, con la siguiente descripción:
Se encontró que el arreglo para CVE-2021-41773 en Apache HTTP Server 2.4.50 era insuficiente.
Un atacante podría usar un ataque de path traversal para mapear URLs a archivos fuera de los directorios configurados por directivas similares a Alias.
Si los archivos fuera de estos directorios no están protegidos por la configuración predeterminada habitual "require all denied", estas solicitudes pueden tener éxito.
Si los scripts CGI también están habilitados para estas rutas con alias (sic), esto podría permitir la ejecución remota de código. Este problema solo afecta a Apache 2.4.49 y Apache 2.4.50 y no a versiones anteriores.
Al igual que antes, podemos aprender algunas cosas aquí:
Aunque el primer exploit supuestamente fue arreglado, hay otra entrada para permitir que el traversal funcione (recuerda esto para más adelante).
Ahora estamos limitados a directivas de rutas con alias.
Los directorios fuera de las rutas habituales aún requieren permisos explícitos para ser otorgados.
Si CGI está habilitado, entonces podemos obtener RCE además de la simple divulgación.
Ten en cuenta que no soy responsable de ningún daño o uso ilegal. ¡No seas un idiota!