Ba lỗ hổng trong phần mềm máy chủ web của Apache

Gần đây, Apache đã xử lý nhiều lỗ hổng trong phần mềm máy chủ web của mình. Những lỗ hồng này đều có khả năng dẫn đến thực thi mã tùy ý và trong nhiều trường hợp còn có thể cho phép các tin tặc phá hỏng máy chủ và gây từ chối dịch vụ.

Các lỗ hổng là CVE-2020-9490, CVE-2020-11984, CVE-2020-11993 được nhà nghiên cứu Felix Wilhelm tham gia dự án Google Project Zero phát hiện và kể từ đó đã được Apache Foundation xử lý trong phiên bản mới nhất của phần mềm là 2.4.4.6.

Lỗi đầu tiên là lỗ hổng CVE-2020-11984, có thể gây ra thực thi mã từ xa do tràn bộ đệm trong module "mod_uwsgi". Lỗ hổng có khả năng cho phép kẻ tấn công xem, thay đổi hoặc xóa dữ liệu nhạy cảm theo những đặc quyền liên quan tới một ứng dụng đang chạy trên máy chủ.

Lỗi thứ 2 là CVE-2020-11993, được kích hoạt khi thực hiện gỡ lỗi trong module "mod_http2". Đây là nguyên nhân khiến cho các câu lệnh đang đăng nhập kết nối sai, gây hỏng bộ nhớ do sự đăng nhập nhật ký đồng thời.

Lỗ hổng thứ 3 là CVE-2020-9490, lỗ hổng có nhiều nguy cơ nhất trong 3 lỗ hổng, cũng nằm trong module HTTP/2 và sử dụng tiêu đề "Cache-Digest" (một tính năng trong máy chủ web) được tạo ra một cách đặc biệt gây hư hỏng bộ nhớ dẫn đến sự cố và từ chối dịch vụ.

Cache Digest là một phần của của tính năng tối ưu hóa web hiện đã bị hủy bỏ để giải quyết một vấn đề về các tính năng server push (những tính năng cho phép máy chủ gửi trước những phản hồi cho máy khách) bằng cách cho phép các máy khách thông báo cho máy chủ những nội dung mới được lưu trong bộ nhớ cache để băng thông không bị lãng phí trong việc gửi các tài nguyên đó trong bộ nhớ cache của máy khách.

Do đó, khi một giá trị đặc biệt được cấy vào tiêu đề "Cache-Digest" trong một yêu cầu HTTP/2, sẽ gây ra sự cố khi máy chủ gửi gói PUSH sử dụng tiêu đề này. Trên các máy chủ đã được vá, sự cố này có thể được xử lý bằng cách tắt tính năng server push trên máy chủ HTTP/2.

Mặc dù hiện chưa có báo cáo nào về việc khai thác các lỗ hổng này trong thực tế, nhưng các chuyên gia khuyến cáo cần nhanh chóng cập nhật bản vá cho các hệ thống bị ảnh hưởng bởi các lỗ hổng ngay trên để giảm thiểu nguy cơ bị tấn công.