เมื่อวันที่ 5 ตุลาคม 2564 ได้มีการออกประกาศการอัปเดต HTTP Web Server เวอร์ชัน 2.4.50 เพื่อแก้ไขช่องโหว่จำนวน 2 รายการ ได้แก่ (CVE-2021-41773 และ CVE-2021-41524)
Apache HTTP Server เป็นเว็บเซิร์ฟเวอร์แบบโอเพ่นซอร์สที่ได้รับความนิยมและใช้งานกันอย่างแพร่หลาย จากผู้ใช้งานทั่วโลกโดยเฉพาะสำหรับผู้เริ่มต้นที่สนใจอยากจะลองเขียนเว็บแอพพลิเคชันครั้งแรก
ช่องโหว่หมายเลข CVE-2021-41773 เป็นช่องโหว่ที่อนุญาติให้ผู้ไม่ประสงค์ดีสามารถอาศัยการทำ URL Encoding ในการ Bypass ได้สำเร็จ
ซึ่งส่งผลผู้ไม่ประสงค์ดีสามารถอ่านไฟล์สำคัญที่อยู่ภายนอก Document Root ได้ซึ่งเรียกเทคนิคนี้ว่า Path Traversal ดังรูปที่ 1
รูปที่ 1
ช่องโหว่หมายเลข CVE-2021-41524 เป็นช่องโหว่ที่ตรวจพบ Null Pointer ระหว่างการประมวลผล HTTP/2 Request ส่งผลให้ผู้ไม่ประสงค์ดีสามารถโจมตีไปยังเครื่องเซิร์ฟเวอร์จนทำให้ระบบหยุดชะงักหรือไม่สามารถให้บริการได้สำเร็จ (DoS)
ช่องโหว่นี้ได้รับการแก้ไขและปล่อยแพตช์อัปเดตจาก Apache เมื่อปลายเดือนกันยายน 2564 สำหรับผู้พัฒนาซอฟต์แวร์และผู้ดูแลระบบที่ยังไม่ได้ดำเนินการแก้ไขให้รีบทำการอัปเดตเพื่อแก้ไขช่องโหว่ตามลิงก์ด้านล่าง
ผู้เขียน : นาย วสุพล ไชยสง่าศิลป์
ผู้ตรวจทาน : นายเจษฏา ทองก้านเหลือง
เผยแพร่ : วันที่ 8 ตุลาคม 2564