Apache HTTP服务组件提权缝隙安全公告

颁布功夫 2019-04-03

缝隙编号和级别


CVE编号：CVE-2019-0211，危险级别：高危，CVSS分值：厂商自评8.2，官方未评定


影响版本


Apache HTTP Server 2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33, 2.4.30, 2.4.29, 2.4.28, 2.4.27, 2.4.26, 2.4.25, 2.4.23, 2.4.20, 2.4.18, 2.4.17


缝隙概述


Apache官方颁布2.4.39版本的更新，其中建复了一个编号为CVE-2019-0211的提权缝隙，据分析，该缝隙影响严沉，攻击者通过上传CGI剧本可直接造成指标系统的提权攻击，影响*nix平台下的Apache 2.4.17到2.4.38版本，建议尽快进行评估建复。


*nix平台，在Apache HTTP组件2.4.17到2.4.38版本中，不论是使用MPM event模型、Workder、还是prefork模式，运行于低权限的子过程或线程都能够通过把持计分板（manipulating the scoreboard）的方式来以父过程的权限（通常是root权限）执行肆意代码。


攻击场景中，攻击者必要通过上传可执行剧本的攻击方式来进行攻击。若是指标系统是选取主机共享的场景，该缝隙可能可直接被利用。


建复建议


1. *nix平台尽快通过各自的更新渠路进行更新（目前各家Linux在垂危评估更新中）

2. 自行编译的HTTP请通过源码更新的方式尽快建复


参考链接


https://access.redhat.com/security/cve/cve-2019-0211
https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2019-0211