هناك إصلاح لعيب فادح في خادم Apache HTTP ، وهو ثاني أكثر خادم ويب استخدامًا في العالم.
أصدرت مؤسسة Apache Software Foundation تحديثًا لمعالجة عيب خطير في خادم الويب الذي يتمتع بشعبية كبيرة والذي يسمح للمهاجمين عن بُعد بالتحكم في نظام ضعيف.
أصدرت المؤسسة الإصدار 2.4.52 من خادم Apache HTTP (خادم الويب) الذي يعالج عيبين تم تتبعهما مثل CVE-2021-44790 و CVE-2021-44224 ، والتي لها درجات خطورة CVSS ذات الصلة من 9.8 (حرجة) و 8.2 (عالية) ) من أصل 10. يمكن أن تكون النتيجة 9.8 سيئة للغاية ، وفي الأسابيع الأخيرة لم تتفوق سوى ثغرة Log4j المعروفة باسم Log4Shell ، والتي كانت درجة الخطورة فيها 10 من 10 .
عيب خادم ويب Apache الأول هو تجاوز سعة المخزن المؤقت المرتبط بالذاكرة والذي يؤثر على Apache HTTP Server 2.4.51 والإصدارات الأقدم. تحذر وكالة الأمن السيبراني وأمن البنية التحتية (CISA) من أنها "قد تسمح لمهاجم عن بعد بالسيطرة على نظام متأثر". يسمح الخلل الأقل خطورة بتزوير طلب جانب الخادم في Apache HTTP Server 2.4.7 حتى 2.4.51.
هذا الإصدار من Apache HTTP Server هو أحدث إصدار متاح بشكل عام من الجيل الجديد 2.4.x فرع من Apache HTTPD من مشروع خادم HTTP الذي يبلغ عمره 26 عامًا من Apache ، والذي يحافظ على خادم HTTP مهم وحديث مفتوح المصدر لمنصات Unix و Windows .
يعد خادم Apache HTTP Server ثاني أكثر خوادم الويب استخدامًا على الإنترنت بعد Nginx ، وفقًا لـ W3Techs ، والتي تقدر أنه يستخدمها بنسبة 31.4٪ من مواقع الويب في العالم. تقدر شركة الأمن البريطانية Netcraft استخدام 283 مليون موقع ويب Apache HTTP Server في ديسمبر 2021 ، وهو ما يمثل 24٪ من جميع خوادم الويب.
يبدو أن الخطأ الخطير لم يتعرض للهجوم بعد ، لكن فريق HTTPD يعتقد أنه من المحتمل أن يتم تسليحه.
قال فريق Apache HTTPD: "فريق Apache httpd ليس على علم بوجود ثغرة أمنية على الرغم من أنه قد يكون من الممكن صياغة واحدة".
أوضح Steffan Eissing من مؤسسة Apache في قائمة بريدية: " يمكن أن يتسبب نص الطلب المصمم بعناية في تجاوز سعة المخزن المؤقت في المحلل اللغوي mod_lua متعدد الأجزاء (r: parsebody () من نصوص Lua النصية)" .
كما تلاحظ Netcraft ، لم يتأثر خادم Apache HTTP بشكل مباشر بمكتبة رسائل الخطأ Log4j المستندة إلى Java كما تمت كتابتها في C. ومع ذلك ، حتى خوادم الويب المكتوبة بلغات غير جافا ربما لا تزال قد دمجت مكتبة Log4j الضعيفة في تقنية كومة. خادم الويب الخاص بشركة IBM ، WebSphere ، يدمج Log4j وكان عرضة للخطر ، لكن Netcraft وجد فقط 3778 موقعًا يستخدمه.
أصدرت Apache Software Foundation ثلاثة تحديثات في الأسبوع الماضي في أعقاب ثغرة Log4Shell واسعة النطاق في فرع Log4j الإصدار 2.
أصدرت وكالات الأمن السيبراني من الولايات المتحدة وأستراليا وكندا ونيوزيلندا والمملكة المتحدة أمس إرشادات للمنظمات لمعالجة الخطأ . من المتوقع أن يستغرق حل الخطأ شهورًا لأن مكتبة Log4j قد تم دمجها كمكون في مئات من منتجات البرامج من كبار البائعين ، بما في ذلك IBM و Cisco و VMware و RedHat و Oracle. تأتي المكتبة أيضًا مع أطر مهمة ، مثل Apache's Struts2.