POC-CVE-2021-41773

5 अक्टूबर 2021 को, Apache HTTP Server v2.4.49 पर पथ ट्रैवर्सल हमले का विवरण देने वाला एक CVE जारी किया गया। इसे CVE-2021-41773 नंबर दिया गया, और इसे निम्नलिखित विवरण के साथ जारी किया गया:

Apache HTTP Server 2.4.49 में पथ सामान्यीकरण में किए गए एक बदलाव में एक दोष पाया गया। एक हमलावर URL को दस्तावेज़ रूट के बाहर की फ़ाइलों से मैप करने के लिए पथ ट्रैवर्सल हमले का उपयोग कर सकता है। यदि दस्तावेज़ रूट के बाहर की फ़ाइलों को "require all denied" द्वारा संरक्षित नहीं किया गया है, तो ये अनुरोध सफल हो सकते हैं। इसके अतिरिक्त, यह दोष CGI स्क्रिप्ट जैसी व्याख्यात्मक फ़ाइलों के स्रोत को लीक कर सकता है। यह मुद्दा वास्तविक दुनिया में शोषण किए जाने के लिए जाना जाता है। यह मुद्दा केवल Apache 2.4.49 को प्रभावित करता है, पुराने संस्करणों को नहीं।

[+] Apache 2.4.49 जिसमें CGI सक्षम नहीं है, हम केवल फ़ाइलें पढ़ सकते हैं। हम बस उन फ़ाइलों तक पहुँचते हैं जिन्हें हम चाहते हैं, प्रत्येक पथ खंड में एक . को url-एन्कोड करके।

[+] Apache 2.4.49 जिसमें CGI सक्षम है CGI मामले को जटिल बना देगा क्योंकि मॉड्यूल प्राप्त फ़ाइल को निष्पादित करने का प्रयास करेगा। प्लेनटेक्स्ट, जैसे /etc/passwd, के लिए यह समस्याजनक हो सकता है :)। कोड निष्पादित करने के लिए, हम बस कमांड को बॉडी में डालकर sh या bash को कॉल कर सकते हैं। ध्यान दें कि Content-Type प्रतिक्रिया हेडर भी उत्सर्जित करना होगा ताकि क्लाइंट को पता चले कि परिणाम कैसे प्रदर्शित करने हैं।

[+] Apache 2.4.50 यह विशेष उदाहरण संस्करण 2.4.50 में ठीक किया गया था। हालांकि, फिक्स अधूरा था और URL के डबल-एन्कोडिंग का हिसाब देने में विफल रहा।

Ref. https://nvd.nist.gov/vuln/detail/CVE-2021-41773