Apache修補已被開採的資料外洩漏洞

Apache軟體基金會（Apache Software Foundation）5日釋出了Apache HTTP Server 2.4.50，以修補Apache HTTP Server 2.4.49中的兩個安全漏洞，其中的CVE-2021-41773為一資料外洩漏洞，而且已遭駭客開採，使得該基金會呼籲用戶應儘速修補。

Apache HTTP Server為一開源的HTTP伺服器專案，該專案的目標是提供一個能與現有HTTP標準同步以提供HTTP服務的安全伺服器，最新的兩個漏洞存在於Apache基金會甫於今年9月16日釋出的Apache HTTP Server 2.4.49中。

這兩個漏洞分別是CVE-2021-41524與CVE-2021-41773，前者為h2模糊測試的無效指標引用漏洞，將允許外部來源針對伺服器進行服務阻斷攻擊，不過尚未發現開採程式。

CVE-2021-41773則是相對嚴重的路徑穿越（Path Traversal）與檔案揭露漏洞，允許駭客將URLs映射到文件根目錄（Document Root）以外的檔案上，也可能洩露諸如CGI腳本文件等直譯檔案的來源，而且已經遭到駭客開採。

資安業者PT SWARM表示，該團隊已經複製了CVE-2021-41773漏洞，假設文件根目錄以外的檔案並未受到「拒絕所有要求」（require all denied）的保護，那麼駭客就會成功，建議Apache HTTP Server用戶應立即修補。

幸好這兩個漏洞只影響Apache HTTP Server 2.4.49，並未波及更早的版本，且Apache HTTP Server 2.4.49上線不到一個月，許多用戶可能還未升級，縮小了潛在受害者的範圍。