41071 2021-10-07 15:03:24 +0300 CVE-2021-41773: уязвимость в http-сервере Apache 2.4.49, позволяющая получить файлы вне корня сайта 2021-10-07 16:44:39 +0300 1 1 4 Development Sisyphus apache2 unstable all Linux CLOSED FIXED http://opennet.ru/55924 P5 normal --- 1 mike rider boyarsh jenya rider qa-sisyphus oldest_to_newest 203564 0 mike 2021-10-07 15:03:24 +0300 --- В экстренном порядке сформировано обновление http-сервера Apache 2.4.50, в котором устранена уже активно эксплуатируемая 0-day уязвимость (CVE-2021-41773), позволяющая получить доступ к файлам из областей вне корневого каталога сайта. При помощи уязвимости можно загрузить произвольные системные файлы и исходные тексты web-скриптов, доступные для чтения пользователю, под которым запущен http-сервер. Разработчики были уведомлены о проблеме ещё 17 сентября, но смогли выпустить обновление только сегодня, после того как в сети были зафиксированы случаи применения уязвимости для атаки на сайты. Опасность уязвимости сглаживает то, что проблема проявляется только в недавно выпущенной версии 2.4.49 и не затрагивает все более ранние выпуски. В стабильных ветках консервативных серверных дистрибутивов выпуск 2.4.49 ещё не использовался (Debian, RHEL, Ubuntu, SUSE), но проблема затронула непрерывно обновляемые дистрибутивы, такие как Fedora, Arch Linux и Gentoo, а также порты FreeBSD. --- http://opennet.ru/55924 В p10 уже попал. 203569 1 rider 2021-10-07 16:04:08 +0300 Спасибо. Мы уже успели в некоторых местах обновить. 203571 2 rider 2021-10-07 16:44:39 +0300 В сизиф отправлено, в p10 будет тестироваться.