Apache web server: scoperta una nuova vulnerabilità critica

Recentemente Apache Foundation ha rilasciato un nuovo aggiornamento del suo web server (build 2.4.39) contenente una patch che va a risolvere una vulnerabilità potenzialmente molto pericolosa etichettata come CVE-2019-0211.

Se sfruttato tale bug di sicurezza avrebbe permesso ad un utente malintenzionato di eseguire script sul web server con i privilegi di utente root, assumendo di fatto il controllo del sistema. La vulnerabilità è presente esclusivamente nelle versioni di Apache per Unix, dalla versione 2.4.17 alla 2.4.38. La nuova build 2.4.39 è stata infatti rilasciata appositamente per correggere questa falla.

Ad individuare la problematica è stato Charles Fol, ricercatore che lavora per un'agenzia di cybersecurity, che ha subito chiarito che si tratta di un bug sfruttabile soltanto avendo accesso diretto al server dove è presente Apache. Per eseguire questa tipologia di attacco era dunque necessario disporre di un account di sistema oppure sottrarre le credenziale di accesso ad un utente fornito delle necessarie credenziali.

Secondo il team di sviluppatori di Apache il bug sarebbe presente solo nei sistemi Unix a causa della natura dei child processes. Tali processi hanno infatti la capacità di eseguire del codice tramite i privilegi ereditati dai parent process, questa caratteristica può quindi essere sfruttata da eventuali attaccanti.

Inoltre nei sistemi Unix il web server viene quasi sempre eseguito direttamente dall'utente root. Questo facilità notevolmente il lavoro degli script malevoli e può mettere a rischio la sicurezza dell'intero sistema.

Per questo motivo gli sviluppatori dell'Apache Foundation suggeriscono a tutti gli amministratori di sistema Unix interessati di aggiornare la propria versione del web server al più presto.

Via Charles Fol