Mark J Cox, salah satu anggota pendiri Apache Software Foundation dan proyek OpenSSL, hari ini memposting tweet peringatan kepada pengguna tentang kesalahan penting yang baru ditemukan dalam perangkat lunak Server HTTP Apache.
Server web Apache adalah salah satu server web open-source yang paling populer dan banyak digunakan di dunia yang menggerakkan hampir 40 persen dari seluruh Internet.
Kerentanan, diidentifikasi sebagai CVE-2019-0211 , ditemukan oleh Charles Fol , seorang insinyur keamanan di perusahaan Keamanan Ambionics, dan diperbaiki oleh pengembang Apache dalam versi terbaru 2.4.39 dari perangkat lunaknya yang dirilis hari ini.
Cacat mempengaruhi Apache HTTP Server versi 2.4.17 hingga 2.4.38 dan dapat memungkinkan pengguna yang kurang beruntung untuk mengeksekusi kode arbitrer dengan hak akses root pada server yang ditargetkan.
"Di Apache HTTP Server 2.4 rilis 2.4.17 hingga 2.4.38, dengan acara MPM, pekerja atau prefork, kode yang dieksekusi dalam proses atau utas anak yang kurang istimewa (termasuk skrip yang dijalankan oleh juru bahasa skrip dalam proses) dapat mengeksekusi kode arbitrer dengan hak istimewa dari proses induk (biasanya root) dengan memanipulasi papan skor. Sistem Non-Unix tidak terpengaruh, " kata penasihat itu.
Meskipun peneliti belum merilis kode exploit Proof-of-Concept (PoC) yang berfungsi untuk cacat ini, Charles hari ini menerbitkan posting blog yang menjelaskan bagaimana seorang penyerang dapat mengeksploitasi kelemahan ini dalam 4 sebelum langkah-langkah yang disebutkan:
- Mendapatkan akses R / W pada proses pekerja,
- Tulis struktur prefork_child_bucket palsu di SHM,
- Buat all_buckets [bucket] arahkan ke struktur,
- Tunggu 6:25 pagi untuk mendapatkan panggilan fungsi sewenang-wenang.
Menurut Cox, kerentanan lebih memprihatinkan untuk layanan hosting web bersama, di mana pelanggan malicious atau peretas dengan kemampuan untuk mengeksekusi skrip PHP atau CGI di situs web dapat memanfaatkan cacat untuk mendapatkan akses root di server, akhirnya mengorbankan semua lainnya situs web di-host di server yang sama.
Selain itu, versi terbaru Apache httpd 2.4.39 juga menambal tiga masalah tingkat keparahan rendah dan penting lainnya.
Cacat penting kedua (CVE-2019-0217) dapat memungkinkan "pengguna dengan kredensial yang valid untuk mengautentikasi menggunakan nama pengguna lain, melewati batasan kontrol akses yang dikonfigurasi."
Kerentanan ketiga adalah bypass kontrol akses mod_ssl (CVE-2019-0215), "bug di mod_ssl ketika menggunakan verifikasi sertifikat klien per-lokasi dengan TLSv1.3 memungkinkan klien yang mendukung Otentikasi Post-Handshake untuk memotong pembatasan kontrol akses yang dikonfigurasi."
Kita telah melihat bagaimana pengungkapan sebelumnya atas kelemahan parah dalam kerangka kerja aplikasi web telah menghasilkan eksploitasi PoC yang diterbitkan dalam sehari dan eksploitasi di alam liar , menempatkan infrastruktur penting serta data pelanggan dalam risiko.
Oleh karena itu, layanan hosting web, organisasi yang mengelola server mereka sendiri dan administrator situs web sangat disarankan untuk memutakhirkan instance HTTP Apache mereka ke versi terbaru sesegera mungkin.
Sumber Artikel : ThehackerNews
