漏洞概述
4月3日，監(jiān)測到開源軟件Apache官方發(fā)布2.4.39版本的更新，其中修復(fù)了一個(gè)編號(hào)為CVE-2019-0211的提權(quán)漏洞，據(jù)分析，該漏洞影響嚴(yán)重，攻擊者通過上傳CGI腳本可直接造成目標(biāo)系統(tǒng)的提權(quán)攻擊，影響*nix平臺(tái)下的Apache 2.4.17到2.4.38版本，建議盡快進(jìn)行評(píng)估修復(fù)。
具體漏洞信息如下：
*nix平臺(tái)，在Apache HTTP組件2.4.17到2.4.38版本中，不管是使用MPM event模型、Workder、還是prefork模式，運(yùn)行于低權(quán)限的子進(jìn)程或線程都可以通過操縱計(jì)分板（manipulating the scoreboard）的方式來以父進(jìn)程的權(quán)限（通常是root權(quán)限）執(zhí)行任意代碼。
攻擊場景中，攻擊者需要通過上傳可執(zhí)行腳本的攻擊方式來進(jìn)行攻擊。如果目標(biāo)系統(tǒng)是采用主機(jī)共享的場景，該漏洞可能可直接被利用。
漏洞編號(hào)
CVE-2019-0211
受影響版本
Apache HTTP Server 2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33, 2.4.30, 2.4.29, 2.4.28, 2.4.27, 2.4.26, 2.4.25, 2.4.23, 2.4.20, 2.4.18, 2.4.17
解決方案
*nix平臺(tái)盡快通過各自的更新渠道進(jìn)行更新
自行編譯的HTTP請(qǐng)通過源碼更新的方式盡快修復(fù)
參考鏈接
Redhat更新
[redhat: https://access.redhat.com/security/cve/cve-2019-0211]
Apache安全公告
[https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2019-0211]