Kwetsbaarheden verholpen in Apache web server

Apache Software Foundation heeft twee kwetsbaarheden verholpen in Apache HTTP Server. Een ongeauthenticeerde kwaadwillende op afstand kan de kwetsbaarheden mogelijk misbruiken voor het veroorzaken van een Denial-of-Service, het verkrijgen van toegang tot gevoelige gegevens of het uitvoeren van willekeurige code.

De kwetsbaarheid met kenmerk CVE-2021-41524 kan mogelijk worden misbruikt voor het veroorzaken van een Denial-of-Service. Dit kan worden bewerkstelligd door het versturen van een speciaal geprepareerd verzoek en resulteert in het crashen van het httpd-proces dat het verzoek afhandelt. Doordat dergelijke processen automatisch herstarten is een totale Denial-of-Service waarbij de gehele webserver stopt onwaarschijnlijk.

De kwetsbaarheden met kenmerk CVE-2021-41773 en CVE-2021-42013 zijn nieuw geïntroduceerde fouten in Apache HTTP Server 2.4.49 en 2.4.50. De kwetsbaarheden stellen een ongeauthenticeerde kwaadwillende in staat om middels een path-traversal toegang te krijgen tot gevoelige gegevens buiten de scope van de Apache web server of willekeurige code uit te voeren. Normaal gesproken heeft het webproces geen toegang tot bestanden buiten de eigen omgeving. Echter, wanneer "require all denied" niet in de configuratie voorkomt om toegang tot bestanden buiten de omgeving van Apache te voorkomen, kan een kwaadwillende door misbruik van de kwetsbaarheid toch dergelijke bestanden benaderen of willekeurige code uitvoeren met rechten van de webserver. Uitvoer van code is daarbij alleen mogelijk wanneer mod-cgi is ingeschakeld.

De kwetsbaarheden met kenmerk CVE-2021-41773 en CVE-2021-42013 worden actief misbruikt. Organisaties worden opgeroepen om Apache HTTP Server bij te werken naar versie 2.4.51. Voor zover bekend komen deze twee specifieke kwetsbaarheden niet voor in versie 2.4.48 en ouder.