Разработчики Apache Software Foundation исправили серьезную уязвимость в Apache. При определенных условиях пользовательские скрипты могут использоваться для исполнения кода с root-правами и захвата контроля над сервером.
Уязвимость получила идентификатор CVE-2019-0211 и затрагивает Apache для Unix-систем, от версии 2.4.17 до 2.4.38. Исправление было представлено с релизом версии 2.4.39.
Разработчики объясняют, что менее привилегированные дочерние процессы Apache (например, скрипты CGI) могут исполнять вредоносный код с привилегиями родительского процесса. Так как на Unix-системах Apache httpd работает с root-привилегиями, атакующий, сумевший поместить вредоносный скрипт на сервер, сможет воспользоваться проблемой CVE-2019-0211 и установить контроль над всей машиной, на которой работает уязвимый Apache.
Конечно, проблема является локальной, так как для размещения вредоносного скрипта все же нужно иметь к серверу хоть какой-то доступ. Однако специалисты предупреждают, что баг может представлять серьезную угрозу для виртуальных хостингов: для атаки на их инфраструктуру злоумышленник может попросту зарегистрировать легитимную учетную запись (либо скомпрометировать уже существующий аккаунт). Использовав CGI-скрипт, атакующий не только захватит контроль над сервером, но и сможет получить полный доступ к информации других клиентов, которые делят с ним уязвимую машину. Злоумышленник сможет просматривать, удалять и загружать любые файлы или БД.
Однако нельзя сказать, что проблема совсем неопасна для установок Apache, несвязанных с совместным хостингом. Дело в том, что нельзя забывать и о том, что эксплуатация этого бага позволяет злоумышленнику сразу получить root-права, тогда как обычно в результате компрометации Apache атакующий получает контроль лишь над обычным аккаунтом с низкими привилегиями.
