Найдена возможность утечки информации в Apache сервере, в случае если активирован модуль UserDir. Нападавшему достаточно перечислять существующие учетные записи пользователя, пробуя
обратиться к их основному каталогу и контролируя соответствующий ответ. Чтобы нападение сработало, пользователь
даже не обязан иметь public_html каталог.
Пример:
Пытаемся просмотреть URL типа: http://www.example.com/~anna Возможно 3 варианта ответа:
1. Результат HTTP c кодом 200 и просмотр домашней страницы Анны (когда пользователь "Анна" существует, и она имеет домашнюю страницу).
2. Результат HTTP c кодом 403 и сообщение от Apache: "You don't have permission to access /~anna on this
server." Сообщение выдается, когда пользователь "anna" существует в системе, но нет ее домашней станицы или доступ к ней запрещен.
3. Результат HTTP c кодом 404 и сообщение от Apache: "The requested URL /~anna was not found on this
server". В случае, когда пользователь "anna" не присутствует в системе.
