4月3日，監(jiān)測到開源軟件Apache官方發(fā)布2.4.39版本的更新，其中修復(fù)了一個編號為CVE-2019-0211的提權(quán)漏洞，據(jù)分析，該漏洞影響嚴(yán)重，攻擊者通過上傳CGI腳本可直接造成目標(biāo)系統(tǒng)的提權(quán)攻擊，影響*nix平臺下的Apache 2.4.17到2.4.38版本，建議盡快進(jìn)行評估修復(fù)。

具體漏洞信息如下：

*nix平臺，在Apache HTTP組件2.4.17到2.4.38版本中，不管是使用MPM event模型、Workder、還是prefork模式，運(yùn)行于低權(quán)限的子進(jìn)程或線程都可以通過操縱計(jì)分板（manipulating the scoreboard）的方式來以父進(jìn)程的權(quán)限（通常是root權(quán)限）執(zhí)行任意代碼。

攻擊場景中，攻擊者需要通過上傳可執(zhí)行腳本的攻擊方式來進(jìn)行攻擊。如果目標(biāo)系統(tǒng)是采用主機(jī)共享的場景，該漏洞可能可直接被利用。

漏洞編號

CVE-2019-0211

受影響版本

Apache HTTP Server 2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33, 2.4.30, 2.4.29, 2.4.28, 2.4.27, 2.4.26, 2.4.25, 2.4.23, 2.4.20, 2.4.18, 2.4.17

解決方案

*nix平臺盡快通過各自的更新渠道進(jìn)行更新

自行編譯的HTTP請通過源碼更新的方式盡快修復(fù)

參考鏈接

Redhat更新

[redhat: https://access.redhat.com/security/cve/cve-2019-0211]

Apache安全公告

[https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2019-0211]