Брешь в Apache позволяла получить root-привилегии с помощью скрипта

Олег Иванов 03 Апреля 2019 - 17:15

Домашние пользователи

...

Уязвимость повышения привилегий затрагивает Apache HTTP-сервер — пользователи, имеющиеся право записи и запуска скриптов, могли получить root-привилегии в системах Unix. Проблема актуальна для версий Apache с 2.4.17 по 2.4.38, а с выпуском Apache 2.4.39 ее устранили.

Уязвимость, получившую идентификатор CVE-2019-0211, обнаружил эксперт Чарльз Фол. Представители Apache прокомментировали ситуацию следующим образом:

«В релизах линейки Apache HTTP Server 2.4 (2.4.17 — 2.4.38) можно выполнить произвольный код с привилегиями родительского процесса (как правило, это root). Этого можно добиться за счет манипуляции scoreboard. Кроме Unix-систем все остальные системы не затронуты данной брешью».

CVE-2019-0211 наиболее опасна в том случае, когда пользователи с ограниченными правами могут получить root-привилегии, запуская скрипты и команды на уязвимом сервере.

Чарльз Фол отметил, что предоставлять пользователям с низкими привилегиями возможность записывать собственные скрипты — довольно распространенная практика.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Екатерина Быстрова 09 Июня 2025 - 14:30

MultiDirectory Соответствие законодательству РФ Корпорации Соответствие требованиям регуляторов «МУЛЬТИФАКТОР»

MULTIDIRECTORY Enterprise включили в реестр отечественного ПО

Компания «МУЛЬТИФАКТОР» сообщила, что Министерство цифрового развития РФ включило платную версию продукта MULTIDIRECTORY в реестр российского программного обеспечения под номером 28333.

MULTIDIRECTORY — это российская служба каталогов с открытым исходным кодом. У решения есть бесплатная Community-версия и платная Enterprise-редакция с расширенным функционалом и поддержкой.

Продукт создавался как альтернатива Active Directory и ориентирован на компании, которым важно использовать отечественные инструменты для администрирования ИТ-инфраструктуры.

По словам разработчиков, в Enterprise-версии предусмотрено централизованное управление данными о пользователях, группах и устройствах, а также настройка прав доступа внутри корпоративной сети.

Включение в реестр подтверждает соответствие программного обеспечения требованиям российского законодательства.

Также отмечается, что развитие продукта продолжается, и до конца года в него планируется добавить новые функции.