April 21, 2015 hotro@hostingviet.vn 02466.567.555       Giới thiệuTuyển dụng    Liên hệ   Đăng nhập   Đăng ký

Lỗ hổng bảo mật nghiêm trọng trên Apache, Hãy update ngay trước khi quá muộn

Mark J Cox, một trong những thành viên sáng lập của phần mềm Apache và dự án OpenSSL, hôm nay đã đăng một tweet cảnh báo người dùng về một lỗ hổng quan trọng được phát hiện gần đây trong phần mềm Máy chủ HTTP Apache.

Máy chủ web Apache là một trong những máy chủ web nguồn mở phổ biến nhất, được sử dụng rộng rãi trên thế giới, cung cấp giải pháp webserver cho khoảng gần 40% các website trên toàn thế giới.
Lỗ hổng, được xác định là CVE-2019-0211 , được phát hiện bởi Charles Fol , một kỹ sư bảo mật tại công ty Ambionics Security và được các nhà phát triển Apache vá trong phiên bản mới nhất 2.4,39 của phần mềm được phát hành hôm nay.

Lỗ hổng ảnh hưởng đến Apache HTTP Server phiên bản 2.4.17 đến 2.4,38 và có thể cho phép bất kỳ người dùng được phân quyền hạn chế vẫn có thể thực thi mã tùy ý với quyền root trên máy chủ được nhắm mục tiêu. Tức là có quyền root từ tài khoản cấp độ user.

"Trong Apache HTTP Server 2.4 phát hành 2.4.17 đến 2.4,38, với sự kiện MPM, worker hoặc prefork, mã thực thi trong các tiến trình hoặc luồng con ít đặc quyền (bao gồm các tập lệnh được thực thi bởi trình thông dịch kịch bản lệnh trong quá trình) có thể thực thi mã tùy ý với các đặc quyền của quy trình cha mẹ (thường là root) bằng cách thao tác bảng. Các hệ thống không phải là Unix không bị ảnh hưởng ", lời khuyên nói.

Các bước Hacker khai thác lỗ hổng bảo mật Apache chưa được tiết lộ

Mặc dù nhà nghiên cứu chưa công bố mã khai thác Proof-of-Concept (PoC) đang hoạt động cho lỗ hổng này, Charles hôm nay đã xuất bản một bài đăng trên blog giải thích cách kẻ tấn công có thể khai thác lỗ hổng này trong 4 bước trước khi đề cập:

* Có được quyền truy cập R / W (đọc ghi) trong 1 process đang thực thi,

* Viết cấu trúc prefork_child_bucket giả trong SHM,

* Đặt all_buckets[bucket] trỏ vào cấu trúc,

* Chờ 6:25 sáng để nhận kết quả.

Theo Cox, lỗ hổng này liên quan nhiều hơn đến các dịch vụ lưu trữ web được chia sẻ, nơi khách hàng độc hại hoặc tin tặc có khả năng thực thi các tập lệnh PHP hoặc CGI trên trang web có thể sử dụng lỗ hổng để có quyền truy cập root trên máy chủ, cuối cùng làm tổn hại tất cả các dịch vụ khác các trang web được lưu trữ trên cùng một máy chủ.
Bên cạnh đó, phiên bản Apache httpd 2.4.39 mới nhất cũng vá ba vấn đề nghiêm trọng thấp và hai vấn đề quan trọng khác.

Lỗ hổng quan trọng thứ hai (CVE-2019-0217) có thể cho phép "người dùng có thông tin xác thực hợp lệ để xác thực bằng tên người dùng khác, bỏ qua các hạn chế kiểm soát truy cập được định cấu hình".
Lỗ hổng thứ ba là một vòng kiểm soát truy cập mod_ssl (CVE-2019-0215), "một lỗi trong mod_ssl khi sử dụng xác minh chứng chỉ ứng dụng khách theo vị trí với TLSv1.3 cho phép khách hàng hỗ trợ Xác thực bắt tay sau được cấu hình để bỏ qua các hạn chế kiểm soát truy cập được định cấu hình."
Chúng tôi đã thấy những tiết lộ trước đây về các lỗ hổng nghiêm trọng trong khung ứng dụng web đã dẫn đến việc khai thác PoC được công bố trong vòng một ngày và khai thác trong tự nhiên , khiến cơ sở hạ tầng quan trọng cũng như dữ liệu của khách hàng gặp rủi ro.
Do đó, các dịch vụ lưu trữ web, các tổ chức quản lý máy chủ của riêng họ và quản trị viên trang web được khuyến khích nâng cấp các phiên bản HTTP HTTP của họ lên các phiên bản mới nhất càng sớm càng tốt.

Chúng ta phải làm gì để vá lỗ hổng bảo mật Apache?

Việc này còn tùy thuộc vào các mà Bạn đang sử dụng máy chủ. Có 2 trường hợp phổ biến. 1 là chỉ sử dụng Apache, 2 là Apache kết hợp Nginx. ở cả 2 trường hợp này, Bạn cần update phiên bản Apache mới nhất cho máy chủ. Trong mọi trường hợp, chúng tôi luôn khuyên Bạn nên Backup dữ liệu thường xuyên, và theo dõi các thông báo trên trang HostingViet.vn để update thông tin mới nhất về bảo mật

Hãy làm theo các hướng dẫn update dưới đây. Xin lưu ý: Để đảm bảo an toàn, hãy chắc chắn đã backup toàn bộ source code + database nhé

Cách update phiên bản Apache mới nhất bằng SSH - DirectAdmin

Cách update phiên bản Apache mới nhất trên cPanel

Cách update Apache với VPSSIM

Đối với các controlpanel khác, vui lòng kiểm tra kỹ trước khi update

Tôi không biết SSH, không biết quản trị Server thì có thể tự update Apache được không?

Quý Khách đang sử dụng dịch vụ tại HostingViet có thể chủ động update hoặc liên hệ bộ phận hỗ trợ kỹ thuật HostingViet để được hỗ trợ

Quý Khách đang không sử dụng VPS tại HostingViet, xin vui lòng chat trực tiếp với tư vấn viên tại góc phải màn hình!

Thông tin quan trọng: Chỉ cần Quý Khách đăng ký VPS / Server tại HostingViet, sẽ được miễn phí quản trị Server

HostingViet chính là nhân viên viên IT cần mẫn với trình độ chuyên môn cao, luôn luôn hỗ trợ 24/24 bao gồm cả ngày nghỉ, ngày lễ... với giá 0đ! Quý Khách đang lăn tăn về việc VPS cũ còn thời hạn? Hãy yên tâm, HostingViet hỗ trợ cộng thời hạn sử dụng còn lại của gói Host cũ
Hiện nay, đại đa số các công ty đều chưa có nhân viên IT chuyên phụ trách Server / VPS. Điều này gây khá nhiều trở ngại khi vận hành website / các ứng dụng sử dụng trên Server. Hoặc tuyển riêng nhân sự phụ trách Server thì quá tốn kém chi phí. Chính vì vậy, HostingViet sẽ hỗ trợ miễn phí dịch vụ "Quản trị máy chủ". Dịch vụ này trước đây HostingViet thu phí 1,500,000VND/1 tháng / 1 server. Riêng đối với các VPS, Server không do HostingViet cung cấp, HostingViet cũng có hỗ trợ kiểm tra và quản trị ở mức cơ bản, tùy tình hình từng Server cụ thể.
Với dịch vụ này, Quý Khách có thể yên tâm ngủ ngon, Server đã có HostingViet thức và quản lý 24/24 giúp quý khách :D!
Dưới đây là danh sách các công việc quản trị Server thường gặp:
  • Cài đặt tối ưu VPS
  • Cấu hình network
  • Cập nhập bản vá lỗi
  • Cấu hình bảo mật cho VPS/Server
  • Cài đặt các phần mềm và dịch vụ khác theo yêu cầu
  • Chuyển dữ liệu về VPS... (đọc thêm)
Quý Khách chưa tìm được thông tin? xin vui lòng chat trực tiếp với nhân viên tư vấn tại góc phải màn hình hoặc gọi số 02466-567-555 để được tư vấn trực tiếp

Đọc thêm: 

Cách sửa lỗi “Apache is functioning normally”

Theo thehackernews