www.MegaLab.it

Apache HTTP Server (httpd) è raramente sotto i riflettori per problemi legati alla sicurezza. I ricercatori di Sense of Security hanno però rintracciato nei giorni scorsi un grave problema nel modulo "mod_isapi", ovvero uno dei componenti di base del software.

Stando a quanto si legge nell'advisory dell'azienda, il difetto potrebbe consentire ad un cracker di eseguire codice a propria discrezione su di un server web che impiegasse Apache 2.2.14 (o precedenti) su piattaforma Windows.

Per sfruttare la vulnerabilità, il cracker dovrebbe inviare al server una richiesta malformata seguita da un reset della connessione: questo farebbe sì che il web server scarichi un modulo ISAPI dalla memoria senza però aggiornare i relativi puntatori in maniera appropriata, che potrebbero in seguito essere dereferenziati da una chiamata a funzione opportuna. Questo condurrebbe ad un'area di memoria non debitamente validata, nella quale il cracker potrebbe essere riuscito a scrivere codice eseguibile a propria discrezione.

In caso l'attacco andasse a buon fine, l'aggressore potrebbe, di fatto, prendere pieno controllo del calcolatore.

Sense of Security ha pubblicato un primo exploit funzionante, in grado di scrivere un file di testo nella directory di Apache, se eseguito con successo.

L'azienda ha reso disponibile anche un breve filmato nel quale offre una dimostrazione della nuova vulnerabilità.

Nello stesso si precisa che la tecnologia Data Execution Prevention (DEP) è in grado di impedire la corretta riuscita dell'attacco. Solo le versioni server di Windows l'hanno però abilitata di default per tutti i processi: ecco quindi che coloro che avessero scelto di erogare il proprio sito Internet tramite un'installazione di httpd in esecuzione su una piattaforma per utenti desktop come Windows XP, Windows Vista o Windows 7 sono più esposti al problema.

Apache Software Foundation ha prontamente rilasciato la versione 2.2.15 del software, che, come si legge nelle release note, è appunto epurata da questo ed altri difetti di sicurezza minori: gli interessati possono prelevare la nuova build partendo da qui.

Ricordo a tutti coloro che fossero intenzionati a predisporre un server HTTP sul proprio sistema che MegaLab.it ha pubblicato un dettagliato approfondimento in merito: "Trasformare il PC in un server HTTP con Apache, PHP, MySQL e Perl".