Apache ออกแพตช์ให้ Apache HTTP Server อีกครั้งหลังแพตช์ก่อนหน้านี้ที่แก้ไขช่องโหว่อ่านไฟล์นอก document root (CVE-2021-41773) เพียงสามวันเนื่องจากแพตช์ก่อนหน้านี้ไม่สมบูรณ์ทำให้คนร้ายยังคงโจมตีได้อยู่

ช่องโหว่นี้ถูกโจมตีไปแล้วในสัปดาห์นี้ และมีการสแกนเซิร์ฟเวอร์ที่ได้รับผลกระทบอย่างต่อเนื่อง ควรรีบติดตั้งแพตช์ทันที

ที่มา - Apache

Apache รายงานแก้ไขช่องโหว่ CVE-2021-41773 ของ Apache HTTP Server ที่เปิดทางให้คนร้ายสามารถเข้าถึงไฟล์นอก document root ได้ เปิดทางให้คนร้ายอ่านข้อมูลที่ไม่ควรอ่านได้ เช่น สคริปต์ CGI จนอาจนำไปสู่การโจมตีส่วนอื่นๆ ของระบบในที่สุด

ช่องโหว่นี้เกิดจากโค้ดที่เพิ่งใส่เข้ามาในเวอร์ชั่น 2.4.49 ที่เพิ่งออกเมื่อกลางเดือนกันยายนที่ผ่านมา โดยโค้ดส่วนตรวจสอบตำแหน่ง (path) ของไฟล์ ไม่ได้ตรวจสอบในกรณีที่ URL เข้ารหัส (encode) มา ทำให้แฮกเกอร์สามารถใช้ "%2E" แทนจุดเพื่อออกนอกโฟลเดอร์ที่กำหนดได้

วันนี้ Apache httpd ออกอัพเดตรุ่น 2.4.39 แก้ไขช่องโหว่ความปลอดภัย โดยมีช่องโหว่ระดับ "สำคัญ" 3 รายการ ช่องโหว่ที่สำคัญที่สุดคือ CVE-2019-0211 ที่เปิดให้ผู้ใช้ที่รันสคริปต์ภายใต้เว็บเซิร์ฟเวอร์ Apache สามารถยึดเครื่องได้หากตัว httpd รันในสิทธิ์ root

ช่องโหว่นี้ได้รับรายงานจาก Charles Fol นักวิจัยจาก Ambionics Security ตั้งแต่ 22 กุมภาพันธ์ที่ผ่านมา

ช่องโหว่ระดับสำคัญอีกสองรายการ เป็นการตรวจสอบผู้ใช้ ด้วย mod_auth_digest และ mod_ssl ที่บางกรณีผู้ใช้อาจข้ามการจำกัดสิทธิ์ไปได้ นอกจากนี้ยังมีช่องโหว่ระดับต่ำอีกสองรายการ

หลังจากช่องโหว่ Struts 2 เผยแพร่ออกมาพร้อมกับโค้ด PoC ทาง Volexity ก็รายงานว่าเริ่มเห็นการสแกนหาช่องโหว่ และยึดเครื่องเพื่อขุดเงินคริปโตกันแล้ว โดยตอนนี้พบต้นทางการสแกนมาจากรัสเซียและฝรั่งเศส

ตัวอย่างการสแกนเป็นการลองยิงโค้ดเข้าไปยัง /struts3-showcase/ เพื่อให้ดาวน์โหลดสคริปต์มาจาก GitHub อีกครั้ง จากนั้นสคริปต์ค่อยดาวน์โหลด miner มารัน

ข้อสังเกตอย่างหนึ่งคือ miner ที่แฮกเกอร์ใช้นั้นมีสามไฟล์ รองรับทั้ง x86, ARM, และ MIPS ทำให้สามารถขุดได้แทบทุกที่ ทั้งพีซี, เซิร์ฟเวอร์, คอมพิวเตอร์ IoT, หรือเราท์เตอร์

ช่องโหว่ CVE-2018-11776 เป็นช่องโหว่รันโค้ดจากระยะไกล ที่แฮกเกอร์สามารถสั่งรันโค้ดบน Apache Struts 2 รุ่น 2.3.34 หรือ 2.5.16 ลงไปทั้งหมด โดยช่องโหว่มีความร้ายแรงระดับวิกฤติ (คะแนน CVSSv3 ที่ 9.8) ตอนนี้ก็มีโค้ด PoC เปิดให้ดาวน์โหลดแล้ว

Allan Liska จากเว็บ Recorded Future ระบุว่าพบการพูดคุยในหมู่แฮกเกอร์จีนและรัสเซียตามฟอรั่มต่างๆ และโค้ดทดสอบเจาะช่องโหว่นี้ก็เปิดให้ดาวน์โหลดแล้วบน GitHub

รายงานข้อมูลรั่วไหลจากบริษัท Equifax กลายเป็นประเด็นใหญ่ของวงการความปลอดภัยและความเป็นส่วนตัวของข้อมูลส่วนบุคคล ล่าสุดทาง Apache ออกมาตอบโต้ข่าวจากเว็บ Quartz ที่จับวันที่รายงานการรั่วไหล (8 กันยายน) ไปชนกับการแก้ช่องโหว่ของ Struts ล่าสุดเมื่อวันที่ 6 กันยายน โดยระบุว่าเป็นการใช้ช่องโหว่ก่อนมีการรายงานออกมา

Man Yue Mo จาก lgtm.com รายงานช่องโหว่ CVE-2017-9805 กระทบ Struts ตั้งแต่รุ่น 2.5 ขึ้นมาทั้งหมด โดยเป็นช่องโหว่ unsafe desrialization เปิดทางให้แฮกเกอร์รันโค้ดจากระยะไกลได้ โดยตอนนี้ทาง Apache ได้ปล่อย Struts 2.5.13 แก้ไขช่องโหว่นี้แล้ว ทุกคนควรอัพเดตโดยด่วน

Mo รายงงานช่องโหว่นี้ตั้งแต่เดือนกรกฎาคมที่ผ่านมา และทาง Struts ก็เตรียมแผนการออกอัพเดตตั้งแต่ต้นเดือนสิงหาคม โดยปัญหาสำคัญคือ REST API บางส่วนอาจจะไม่ทำงานเพราะอาศัยพฤติกรรมเดิมของ API ช่องทางแก้ปัญหาอย่างหนึ่งคือปิดการทำงาน REST ไปเสีย หากยังไม่สามารถอัพเดตได้

โครงการ Apache Struts 2 ปล่อยแพตช์สำหรับช่องโหว่ CVE-2017-5638 เปิดทางให้รันโค้ดจากระยะไกลได้ และตอนนี้โครงการ Talos ของซิสโก้ก็รายงานว่าหลังปล่อยแพตช์ไม่นานก็เริ่มมีการโจมตีแล้ว

CVE-2017-5638 เปิดให้แฮกเกอร์สามารถสั่งคำสั่งใดๆ บนเครื่องปลายทางได้ จาก HTTP request ที่สร้างขึ้นมาเฉพาะ โดยแพตช์ปล่อยเมื่อวันจันทร์ที่ผ่านมา และช่วงวันพฤหัสก็เริ่มมีการโจมตี

ทีมงาน Talos พบว่าแฮกเกอร์มักอาศัยช่องโหว่นี้เข้ามารันคำสั่งง่ายๆ เช่น whoami หรือ ifconfig ก่อนเพื่อเก็บข้อมูล จากนั้นจึงปิดไฟร์วอลล์ แล้วดาวน์โหลดตัวมัลแวร์

กระบวนการบีบอัดข้อมูลเว็บมักใช้ deflate หรือ gzip กันมาเป็นเวลานาน เมื่อปีที่แล้วกูเกิลเสนออัลกอริธึม Brotli ที่บีบอัดข้อมูลได้มากขึ้นโดยยังคงประสิทธิภาพที่ดี แม้ว่ากูเกิลจะเปิดฟีเจอร์นี้ใน Chrome เมื่อต้นปีที่ผ่านมา แต่ก็นอกกูเกิลก็ยังไม่เห็นการใช้งานเป็นวงกว้างนัก ล่าสุด Apache เพิ่มโค้ด mod_brotli รองรับการบีบอัดแบบใหม่นี้แล้ว

ทาง Apache ใช้โค้ดจากโครงการ libbrotli แทนที่โค้ดจากกูเกิลโดยตรง เพราะโค้ดของกูเกิลไม่ได้เปิดทางให้คอมไพล์ไลบรารีเอาไว้