در پی شناسایی وجود یک آسیب‌پذیری در دو نسخه اخیر Apache HTTP Server، بنیاد نرم‌افزاری آپاچی (Apache Software Foundation) با انتشار نسخه‌ای جدید نسبت به وصله آن اقدام کرده است.
به گزارش مرکز مدیریت راهبردی افتا، Apache HTTP Server یک سرویس‌دهنده وب چند بستری است که در میزبانی حدود ۲۵ درصد از سایت‌های بر روی اینترنت نقش دارد.
 بنیاد آپاچی با انتشار نسخه ۲,۴.۵۰ این محصول از ترمیم یک آسیب‌پذیری پویش مسیر (Path Traversal) با شناسه CVE-۲۰۲۱-۴۱۷۷۳ در مهرماه خبر داده است. 
سوءاستفاده از ضعف مذکور مهاجمان را به دسترسی یافتن به محتوای فایل‌های ذخیره شده بر روی سرور آسیب‌پذیر قادر می‌کرد.
 بر اساس توضیحات بنیاد نرم‌افزاری آپاچی ، تنها نسخه ۲,۴.۴۹ از آسیب‌پذیری CVE-۲۰۲۱-۴۱۷۷۳ متأثر می‌شود، با این توضیح که بهره‌جویی از آسیب‌پذیری مذکور در صورتی موفق خواهد بود که قابلیت Require all denied فعال نباشد، ضمن آنکه سوءاستفاده از CVE-۲۰۲۱-۴۱۷۷۳ می‌تواند به نشت سورس کد (Source Code) فایل‌هایی نظیر اسکریپت‌های CGI منجر شود.
بر اساس آمار موتور جستجوگر Shodan بیش از ۱۱۲ هزار سرور آسیب‌پذیر Apache HTTP Server بر روی اینترنت قابل‌دسترس هستند و ممکن است هر یک از آنها مورد نفوذ مهاجمان قرار گرفته باشند یا در آینده‌ای نزدیک قرار بگیرند.
پس از انتشار نسخه ۲,۴.۵۰، محققان امنیتی خیلی زود، از آسیب‌پذیر بودن این نسخه جدید نیز خبر دادند و نمونه‌هایی از اکسپلویت‌های قابل‌اجرا نیز بر روی اینترنت در دسترس قرار گرفت. 
سوءاستفاده از این آسیب‌پذیری جدید که به آن شناسه CVE-۲۰۲۱-۴۲۰۱۳ تخصیص‌داده‌شده است، در صورت غیرفعال بودن گزینه Require all denied می‌تواند مهاجم را به اجرای کد از راه دور بر روی سرور قادر کند.
به‌منظور وصله کردن این آسیب‌پذیری روز – صفر جدید، بنیاد آپاچی در ۱۵ مهرماه  نسخه ۲,۴.۵۱  را منتشرکرد.
بر طبق توصیه‌نامه آپاچی، مهاجم با اجرای یک حمله پویشِ مسیر می‌تواند تا در صورت غیرفعال بودن گزینه Require all denied با تطابق نشانی‌های URL به فایل‌‌هایی خارج از پوشه‌های Alias-like دسترسی پیدا کند.
هر دو آسیب‌پذیری CVE-۲۰۲۱-۴۱۷۷۳ و CVE-۲۰۲۱-۴۲۰۱۳ توسط مهاجمان در حال اکسپلویت هستند؛ لذا به‌تمامی راهبران Apache HTTP Server توصیه اکید می‌شود که در صورت استفاده از هر یک از نسخ ۲,۴.۴۹ و ۲.۴.۵۰ دراسرع‌وقت نسبت به ارتقای این محصول به نسخه ۲.۴.۵۱ اقدام کنند.
توصیه‌نامه آپاچی در لینک زیر قابل‌مطالعه است:

https://httpd.apache.org/security/vulnerabilities_۲۴.html

منابع:

https://httpd.apache.org/security/vulnerabilities_۲۴.htmlhttps://www.bleepingcomputer.com/news/security/apache-emergency-update-fixes-incomplete-patch-for-exploited-bug/https://kc.mcafee.com/corporate/index?page=content&id=KB۹۴۹۶۷

(با تشکر از شرکت مهندسی شبکه گستر برای همکاری در تهیه این گزارش)