Bug 41071 - CVE-2021-41773: уязвимость в http-сервере Apache 2.4.49, позволяющая получить файлы вне корня сайта
Summary: CVE-2021-41773: уязвимость в http-сервере Apache 2.4.49, позволяющая получить...
Status: CLOSED FIXED
Alias: None
Product: Sisyphus
Classification: Development
Component: apache2 (show other bugs)
Version: unstable
Hardware: all Linux
: P5 normal
Assignee: Anton Farygin
QA Contact: qa-sisyphus
URL: http://opennet.ru/55924
Keywords:
Depends on:
Blocks:
 
Reported: 2021-10-07 15:03 MSK by Michael Shigorin
Modified: 2021-10-07 16:44 MSK (History)
3 users (show)

See Also:

Attachments
Add an attachment (proposed patch, testcase, etc.)

Note You need to log in before you can comment on or make changes to this bug.
Description Michael Shigorin 2021-10-07 15:03:24 MSK 
---
В экстренном порядке сформировано обновление http-сервера Apache 2.4.50, в котором устранена уже активно эксплуатируемая 0-day уязвимость (CVE-2021-41773), позволяющая получить доступ к файлам из областей вне корневого каталога сайта. При помощи уязвимости можно загрузить произвольные системные файлы и исходные тексты web-скриптов, доступные для чтения пользователю, под которым запущен http-сервер. Разработчики были уведомлены о проблеме ещё 17 сентября, но смогли выпустить обновление только сегодня, после того как в сети были зафиксированы случаи применения уязвимости для атаки на сайты.

Опасность уязвимости сглаживает то, что проблема проявляется только в недавно выпущенной версии 2.4.49 и не затрагивает все более ранние выпуски. В стабильных ветках консервативных серверных дистрибутивов выпуск 2.4.49 ещё не использовался (Debian, RHEL, Ubuntu, SUSE), но проблема затронула непрерывно обновляемые дистрибутивы, такие как Fedora, Arch Linux и Gentoo, а также порты FreeBSD.
--- http://opennet.ru/55924

В p10 уже попал.
Comment 1 Anton Farygin 2021-10-07 16:04:08 MSK 
Спасибо. Мы уже успели в некоторых местах обновить.
Comment 2 Anton Farygin 2021-10-07 16:44:39 MSK 
В сизиф отправлено, в p10 будет тестироваться.