Apache httpd RCE

Apache HTTP Server 2.4.49 のパス正規化に対する変更に欠陥が見つかりました。攻撃者はパストラバーサル攻撃を使用して、Alias 系ディレクティブで設定されたディレクトリの外部にあるファイルに URL をマッピングできる可能性があります。これらのディレクトリ外のファイルがデフォルト設定の "require all denied" で保護されていない場合、これらのリクエストは成功する可能性があります。これらのエイリアスされたパスで CGI スクリプトも有効になっている場合、リモートコード実行が可能になる可能性があります。この問題は実際に悪用されていることが知られています。この問題は Apache 2.4.49 にのみ影響し、それ以前のバージョンには影響しません。Apache HTTP Server 2.4.50 での修正は不完全であり、CVE-2021-42013 を参照してください。

• CVE 詳細
• ソース

影響を受けるバージョン

• 2.4.49
• 2.4.50

修正されたバージョン

• 2.4.51

前提条件

• podman（または podman を docker としてエイリアス）
• python3 と pip3
• colorama（Python ライブラリ、pip3 install colorama でインストール）

ファイル

• httpd.conf デフォルトの Apache 設定（CGI モジュール有効）
• hello.pl コンテナ内で実行される hello-world の perl CGI スクリプトの例
• main.py エクスプロイト用 Python スクリプトの例

再現手順

docker/podman コンテナとして、脆弱な Apache httpd（デフォルト設定）を起動します。

1. 両方のコンテナイメージをビルドします 1.1 chmod +x ./build.sh 1.2 ./build.sh
2. 脆弱な Apache httpd コンテナを起動します 2.1 chmod +x ./run.sh 2.2 ./run.sh
3. Webサーバーが実行されていることを確認します 3.1 curl localhost:2449/cgi-bin/hello.pl 3.2 curl localhost:2450/cgi-bin/hello.pl

1. エクスプロイトスクリプトを実行します 1.1 python3 main.py localhost:4249 1.2 2.4.49 に対する攻撃を選択します 1.3 python3 main.py localhost:2450 1.4 2.4.50 に対する攻撃を選択します

解説

このエクスプロイトは、Apache httpd の CGI モジュールを利用して、パストラバーサルを通じて任意の実行ファイルを実行できるようにします。

• /cgi-bin/.%2e/%2e%2e/%2e%2e/%2e%2e/%2e%2e/bin/bash
• /cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/bash

.%2e/ は URL エンコードされており、デコードすると ../ と同じになります。 .%%32%658 は二重 URL エンコードされており、デコードするとこれも ../ と同じになります。

クレジット

• エクスプロイト作者: Valentin Lobstein
• ソフトウェアリンク: https://github.com/Balgogan/CVE-2021-41773
• Lucas Schnell