کشف آسیب‌پذیری بحرانی در سرور آپاچی

کمیته رکن چهارم – کارشناسان امنیت سایبری یک آسیب‌پذیری بحرانی در سرور اچ‌تی‌تی‌پی آپاچی کشف کردند.

یک آسیب‌پذیری با شناسه CVE-2021-44790 و شدت بحرانی (۹.۸) در سرور اچ‌تی‌تی‌پی آپاچی (Apache HTTP Server) کشف شد است که بهره‌برداری موفقیت‌آمیز از آن می‌تواند منجر به افشای اطلاعات حساس، افزودن/ تغییر داده‌ها و یا حمله انکار سرویس (DoS) شود.

جزئیات آسیب‌پذیری

این آسیب‌پذیری مربوط به سرریز بافر هنگام تجزیه محتوای چندبخشی در mod_lua از سرور اچ‌تی‌تی‌پی آپاچی نسخه ۲.۴.۵۱ و قبل‌تر می‌باشد.

این آسیب‌پذیری همچنین دارای بردار حمله CVSS:۳.۱/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H می‌باشد؛ یعنی بهره‌برداری از آن از طریق شبکه خارجی و از راه دور امکان‌پذیر است (AV:N) و سوء ‌استفاده از آن نیز نیازمند هیچ پیش‌زمینه‌ای نبوده و به‌راحتی قابل تکرار است و چندان به شرایط خاصی نیاز نیست(AC:L).

برای انجام حمله به هیچ حساب کاربری با سطح دسترسی خاصی نیاز نیست (PR:N) و به تعامل با کاربر نیاز ندارد (UI:N). سوء ‌استفاده از این آسیب‌پذیری بر منابع مدیریت شده توسط سایر مراجع امنیتی تأثیر نمی‌گذارد (S:U) و با سوء‌استفاده از آن، هر سه ضلع امنیت به میزان بسیار زیادی تحت تأثیر قرار می‌گیرند (C:H و I:H و A:N).

محصولات تحت تأثیر

نسخه ۲.۴.۵۱ و قبل‌تر سرور اچ‌تی‌تی‌پی آپاچی تحت‌تأثیر این آسیب‌پذیری قرار دارند:

•  پکیج app-admin/apache-tools
• پکیج www-servers/apache

توصیه‌های امنیتی

آسیب‌پذیری مذکور در نسخه ۲.۴.۵۲ و نسخه‌های بعدتر سرور اچ‌تی‌تی‌پی آپاچی رفع شده است و به کاربران توصیه می‌شود در اسرع وقت نسبت به ارتقای این وب سرور و پکیج‌های آن اقدام کنند.

منبع : مرکز ماهر