พบช่องโหว่ Zero-Day บน APACHE HTTP SERVER

เมื่อวันที่ 5 ตุลาคม 2564 ได้มีการออกประกาศการอัปเดต HTTP Web Server เวอร์ชัน 2.4.50 เพื่อแก้ไขช่องโหว่จำนวน 2 รายการ ได้แก่ (CVE-2021-41773 และ CVE-2021-41524)

 

Apache HTTP Server เป็นเว็บเซิร์ฟเวอร์แบบโอเพ่นซอร์สที่ได้รับความนิยมและใช้งานกันอย่างแพร่หลาย จากผู้ใช้งานทั่วโลกโดยเฉพาะสำหรับผู้เริ่มต้นที่สนใจอยากจะลองเขียนเว็บแอพพลิเคชันครั้งแรก

 

ช่องโหว่หมายเลข CVE-2021-41773 เป็นช่องโหว่ที่อนุญาติให้ผู้ไม่ประสงค์ดีสามารถอาศัยการทำ URL Encoding ในการ Bypass ได้สำเร็จ

ซึ่งส่งผลผู้ไม่ประสงค์ดีสามารถอ่านไฟล์สำคัญที่อยู่ภายนอก Document Root ได้ซึ่งเรียกเทคนิคนี้ว่า Path Traversal  ดังรูปที่ 1

รูปที่ 1

อ้างอิง https://www.bleepingcomputer.com/

ช่องโหว่หมายเลข CVE-2021-41524 เป็นช่องโหว่ที่ตรวจพบ Null Pointer ระหว่างการประมวลผล HTTP/2 Request ส่งผลให้ผู้ไม่ประสงค์ดีสามารถโจมตีไปยังเครื่องเซิร์ฟเวอร์จนทำให้ระบบหยุดชะงักหรือไม่สามารถให้บริการได้สำเร็จ (DoS)

 

ช่องโหว่นี้ได้รับการแก้ไขและปล่อยแพตช์อัปเดตจาก Apache เมื่อปลายเดือนกันยายน 2564 สำหรับผู้พัฒนาซอฟต์แวร์และผู้ดูแลระบบที่ยังไม่ได้ดำเนินการแก้ไขให้รีบทำการอัปเดตเพื่อแก้ไขช่องโหว่ตามลิงก์ด้านล่าง

https://httpd.apache.org/download.cgi#apache24

 

อ้างอิง : https://www.bleepingcomputer.com/news/security/apache-fixes-actively-exploited-zero-day-vulnerability-patch-now/

ผู้เขียน : นาย วสุพล ไชยสง่าศิลป์

ผู้ตรวจทาน : นายเจษฏา ทองก้านเหลือง

เผยแพร่ : วันที่ 8 ตุลาคม 2564