Apache httpd RCE

Une vulnérabilité a été découverte dans une modification apportée à la normalisation des chemins dans Apache HTTP Server 2.4.49. Un attaquant pourrait utiliser une attaque de type path traversal pour mapper des URLs vers des fichiers situés en dehors des répertoires configurés par des directives de type Alias. Si les fichiers en dehors de ces répertoires ne sont pas protégés par la configuration par défaut "require all denied", ces requêtes peuvent aboutir. De plus, si les scripts CGI sont activés pour ces chemins aliasés, cela pourrait permettre une exécution de code à distance. Cette vulnérabilité est connue pour être exploitée dans la nature. Ce problème affecte uniquement Apache 2.4.49 et non les versions antérieures. Le correctif dans Apache HTTP Server 2.4.50 était incomplet, voir CVE-2021-42013.​

• Détails CVE
• Source

Versions affectées

• 2.4.49
• 2.4.50

Versions corrigées

• 2.4.51

Prérequis

• podman (ou alias podman en docker)
• python3 et pip3
• colorama (bibliothèque python, installer avec pip3 install colorama)

Fichiers

• httpd.conf la configuration Apache par défaut (avec le module CGI activé)
• hello.pl un exemple de script CGI perl hello-world exécuté dans le(s) conteneur(s)
• main.py un exemple de script python d'exploitation

Reproduction

Lancez un Apache httpd vulnérable (avec la configuration par défaut) en tant que conteneur docker/podman.

Dockerfile	Container	Version
Dockerfile2449	vulnapache2449	2.4.49
Dockerfile2450	vulnapache2450	2.4.50

1. Construire les deux images de conteneurs 1.1 chmod +x ./build.sh 1.2 ./build.sh
2. Lancer les conteneurs Apache httpd vulnérables 2.1 chmod +x ./run.sh 2.2 ./run.sh
3. Vérifier que le serveur web est en cours d'exécution 3.1 curl localhost:2449/cgi-bin/hello.pl 3.2 curl localhost:2450/cgi-bin/hello.pl

Conteneur	Port d'écoute
vulnapache2449	2449
vulnapache2450	2450

1. Exécuter le script d'exploitation 1.1 python3 main.py localhost:4249 1.2 sélectionner l'attaque sur la version 2.4.49 1.3 python3 main.py localhost:2450 1.4 sélectionner l'attaque sur la version 2.4.50

Explication

L'exploit utilise le module CGI d'Apache httpd pour permettre l'exécution d'exécutables arbitraires via un path traversal.

• /cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/bin/bash
• /cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/bash

.%2e/ est encodé en URL et équivaut à ../ une fois décodé. .%%32%65 est doublement encodé en URL et équivaut également à ../ une fois décodé.

Crédits

• Auteur de l'exploit: Valentin Lobstein
• Lien du logiciel: https://github.com/Balgogan/CVE-2021-41773
• Lucas Schnell