CVE-2024-38474

Apache HTTP Server mod_rewrite — wykonanie skryptów lub ujawnienie kodu źródłowego

CVSS 9.8v3.1pub. 2024-07-01upd. 2025-03-25

Podatność w module mod_rewrite serwera Apache HTTP Server 2.4.59 i wcześniejszych umożliwia atakującemu wykonanie skryptów w katalogach niedostępnych bezpośrednio przez URL lub ujawnienie kodu źródłowego skryptów przeznaczonych wyłącznie do wykonania jako CGI. Ze względu na brak wymagań dotyczących uwierzytelnienia i niską złożoność ataku podatność jest oceniana jako krytyczna.

▸ Pokaż oryginał (EN)

Substitution encoding issue in mod_rewrite in Apache HTTP Server 2.4.59 and earlier allows attacker to execute scripts in directories permitted by the configuration but not directly reachable by any URL or source disclosure of scripts meant to only to be executed as CGI. Users are recommended to upgrade to version 2.4.60, which fixes this issue. Some RewriteRules that capture and substitute unsafely will now fail unless rewrite flag "UnsafeAllow3F" is specified.

🤖 Analiza AI

Jak działa

Problem wynika z nieprawidłowego kodowania podstawień (substitution encoding) w regułach RewriteRule modułu mod_rewrite. Gdy reguły przechwytują i podstawiają dane wejściowe w sposób niebezpieczny, możliwe jest skonstruowanie żądania, które obejdzie ograniczenia dostępu URL i skieruje serwer do wykonania skryptu znajdującego się w katalogu niedostępnym bezpośrednio, lub ujawni treść tego skryptu zamiast jego wykonania. Podatność można wykorzystać zdalnie, bez uwierzytelnienia i interakcji użytkownika. Po zastosowaniu patcha reguły RewriteRule wykonujące niebezpieczne podstawienia będą odrzucane, chyba że jawnie ustawiono flagę 'UnsafeAllow3F'.

Skutki

Atakujący może zdalnie wykonać nieautoryzowane skrypty CGI w katalogach chronionych przed bezpośrednim dostępem przez URL lub uzyskać dostęp do kodu źródłowego tych skryptów, co może prowadzić do ujawnienia poufnych danych (np. danych uwierzytelniających, logiki aplikacji) oraz kompromitacji integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Apache HTTP Server do wersji 2.4.60, która eliminuje tę podatność. Użytkownicy NetApp Clustered Data ONTAP powinni zastosować patche zgodnie z adviorem producenta (ntap-20240712-0001). Dodatkowo należy przegląć istniejące reguły RewriteRule pod kątem niebezpiecznych podstawień — reguły wymagające dotychczasowego zachowania muszą zostać opatrzone flagą 'UnsafeAllow3F'.