Google detecta tres vulnerabilidades en Apache

La Fundaci贸n Apache recomienda aplicar parches al popular servidor web.

Recientemente, Apache repar贸 m煤ltiples vulnerabilidades en su software de servidor web que podr铆an haber llevado a la ejecuci贸n de c贸digo aleatorio y, en escenarios espec铆ficos, incluso podr铆an permitir a los atacantes causar un cuelgue y denegaci贸n de servicio.

Las fallas, identificadas como CVE-2020-9490, CVE-2020-11984, CVE-2020-11993, fueron descubiertas por Felix Wilhelm del Project Zero de Google, y posteriormente han sido resueltas por la Fundaci贸n Apache en la 煤ltima versi贸n del software (2.4.46).

La primera de las tres incidencias se refiere a una posible vulnerabilidad en la ejecuci贸n de c贸digo remoto debido a un desbordamiento del b煤fer con el m贸dulo “mod_uwsgi” (CVE-2020-11984), que podr铆a permitir a un atacante ver, cambiar o eliminar datos sensibles en funci贸n de los privilegios asociados a una aplicaci贸n ejecutada en el servidor. “Una solicitud maliciosa puede dar lugar a la divulgaci贸n de informaci贸n o a la [ejecuci贸n remota de c贸digo] de un archivo existente en el servidor que se encuentre en un entorno de proceso malicioso”, se帽ala Apache en su descripci贸n.

Un segundo fallo se refiere a una vulnerabilidad que se desencadena al activarse la funcionalidad de depuraci贸n en el m贸dulo “mod_http2” (CVE-2020-11993), que ocasiona declaraciones de registro en la conexi贸n incorrecta y, por lo tanto, da lugar a la corrupci贸n de la memoria debido al uso concurrente del repositorio de registros.

CVE-2020-9490, el m谩s grave de los tres, tambi茅n reside en el m贸dulo HTTP/2 y utiliza la cabecera “Cache-Digest” especialmente elaborada para causar que la corrupci贸n de la memoria conduzca a una ca铆da y a la denegaci贸n del servicio. Cache Digest es parte de una funci贸n de optimizaci贸n web ahora en desuso que tiene por objeto resolver un problema con la funcionalidad push del servidor -que permite al servidor enviar anticipadamente respuestas a un cliente- permitiendo que los clientes informen al servidor de su contenido reci茅n almacenado en la memoria cach茅, evitando as铆 el desperdicio de ancho de banda en el env铆o de recursos que ya est谩n en la memoria cach茅 del cliente.

Por lo tanto, al inyectar un valor especialmente elaborado en la cabecera “Cache-Digest” en una solicitud HTTP/2, es posible causar una ca铆da del servidor cuando este env铆a un paquete push. En los servidores sin parches, este problema puede resolverse desactivando la funci贸n push del servidor HTTP/2.

Aunque actualmente no hay reportes de que estas vulnerabilidades est茅n siendo explotadas, es esencial instalar los parches y actualizar el software, recomienda la Fundaci贸n Apache.




Contacto | Diario TI es una publicaci贸n de MPA Publishing International Ltd.