forum.opennet.ru

"Ещё одна уязвимость в Apache httpd, позволяющая обратиться за пределы корневого каталога"

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Присылайте удачные настройки в раздел примеров файлов конфигурации на WIKI.opennet.ru.

. "Ещё одна уязвимость в Apache httpd, позволяющая обратиться з..."	+4 +/–
Сообщение от пох. (?), 08-Окт-21, 19:16
Кажется. Херачь молнией, Г-ди, не осталось тут праведников. Уж если в разработчики апача понабрали подобных макак, которым даже предыдущий факап не подсказал что надо делать проверки после декодирования, нормализации и что там еще предполагается перед обращением к файловой системе, а не в процессе. Отдельный вопрос - а зачем они делают двойное декодирование и не надо ли в этом месте вернуть то, что у nginx называется 444 - захлопнуть сессию без объяснений и записать в лог про попытку хакинга. Поскольку никаких легитимных применений подобной бредятине не просматривается, а кому очень-очень надо - пусть себе двойное и десятерное декодирование вручную разрешает и уже потом не плачет о последствиях.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Ещё одна уязвимость в Apache httpd, позволяющая обратиться за пределы корневого каталога, opennews, 08-Окт-21, 08:52 [смотреть все]

недоработали ребята, ну ничего, исправили, Qwerty, 08-Окт-21, 08:52 (1) //
- Экстремальное программирование - отладка на пользователях Типа актуальный метод, Аноним, 08-Окт-21, 08:54 (2) //
  - а я думал что ЭП это когда ты одной рукой кодишь на ноуте, а другой противостоиш, Qwerty, 08-Окт-21, 09:04 (5)
  - Экстремальное программирование - это про test-driven development Отладка на пол, Аноним, 08-Окт-21, 10:31 (17) //
    - и то, и другое разновидность Lox Driven Development, kissmyass, 08-Окт-21, 17:59 (37)
    - И должно быть запрещено в России , Аноним, 08-Окт-21, 23:32 (53)
      - И в следствии Apache httpd будет защищен от всех уязвимостей законодательством Р, Anon2, 09-Окт-21, 09:26 (70)
  - CI, Sw00p aka Jerom, 08-Окт-21, 10:54 (20)
  - Сейчас походу все так разрабатывается и в продакшон Что телефоны, что машины , KT315, 09-Окт-21, 09:13 (67)
Не страшно В прдакшн не ставят, Аноним, 08-Окт-21, 08:55 (3) //
- Ну, bleeding edge на то и bleeding edge Вменяемые на таковом сидящие прекрасно э, Онаним, 08-Окт-21, 09:30 (9) //
  - Я с этими переплясками включил ждуна, и пожалуй ещё пару месяцев выжду - и далее, Онаним, 08-Окт-21, 09:32 (10)
  - Что вы хотели сказать вот этой фразой , Аноним, 08-Окт-21, 10:24 (16) //
    - Предположу, что фразой bleeding edge он хотел сказать bleeding edge , Ordu, 08-Окт-21, 18:50 (39)
      - Абсолютно так Говоря bleeding edge , я имел в виду именно bleeding edge , не п, Онаним, 09-Окт-21, 11:06 (76)
позорище, Аноним, 08-Окт-21, 09:01 (4)
Шо, опять , Ананоним, 08-Окт-21, 09:05 (6)
А потом тройного, четверного Не кажется ли, что они не на том конце проверку , Аноним, 08-Окт-21, 09:11 (7) //
- Кажется Херачь молнией, Г-ди, не осталось тут праведников Уж если в разработчик , пох., 08-Окт-21, 19:16 (41) //
  - Макак туда понабрали еще во времена разработки ветки 2 В 1 3 все было аккуратно, Аноним, 09-Окт-21, 00:40 (57) //
    - Ну, там разно было - достаточно вспомнить, что вызвало появление 1 3 26 правда,, пох., 09-Окт-21, 12:29 (81)
      - Ох, пляски вокруг lingering sockets - это вообще следствие родовой травмы http С, Аноним, 09-Окт-21, 14:26 (86)
      - Возможно К 2 2 я уже полностью перелез на nginx В принципе, сменил одни грабли, Аноним, 09-Окт-21, 14:29 (87)
  - если клиент сидит за семью проксями, то придется делатьи восьмипроходное декодир, john_erohin, 10-Окт-21, 17:25 (89) //
    - вот прокси пусть и делает Никто тебе не гарантирует что урл что-то вообще, пох., 12-Окт-21, 07:48 (91)
Эээээ, а с хрена ли оно делает двойное декодирование Кого вообще к эскейпингу по, Онаним, 08-Окт-21, 09:29 (8) //
- Двойные стандарты, Аноним, 08-Окт-21, 09:37 (11)
- Этих, как их эсджевешников , Аноним, 09-Окт-21, 03:53 (62)
Так и придется переделать себе работающий-ничего-не-трогай сайт с версии PHP 7 0, Аноним, 08-Окт-21, 09:45 (12)
Может всё-таки в тёмное место этот percent encoding пора, а Юникот на дворе , Аноним, 08-Окт-21, 10:01 (14) //
- deleted , burjui, 08-Окт-21, 12:39 (30)
- Вообще, конечно, пора, но это не отменяет того факта, что код декодирования писа, burjui, 08-Окт-21, 12:40 (31)
Дежа вю И снова Debian to the rescue , InuYasha, 08-Окт-21, 10:07 (15)
Надо было юзатб nginx, Рейка Сметанова, 08-Окт-21, 10:40 (18) //
- Не nginx, а thttpd , Аноним, 08-Окт-21, 10:59 (21) //
  - Чем он лучше , Аноним, 08-Окт-21, 11:55 (27) //
    - да, Qwerty, 08-Окт-21, 12:25 (29)
  - Да чё мелочиться, надо использовать то, что под рукой busybox httpd, OpenEcho, 08-Окт-21, 18:38 (38)
Все же пора на rust , Аноним, 08-Окт-21, 10:51 (19) //
- Не на Rust, а на Elm , Аноним, 08-Окт-21, 11:02 (22) //
  - Хрен редьки не слаще , Аноним, 08-Окт-21, 11:09 (23) //
    - https github com marceloboeira rust-elm, Аноним, 08-Окт-21, 11:39 (26)
      - Ммм еще и с докером Нямка Предлагают назвать переписанный продукт не апач, а с, Аноним, 08-Окт-21, 12:23 (28)
        
        with multistage docker build, а не хрен собачий Впопачь Что отражает ориент, пох., 08-Окт-21, 19:23 (43)
        
        Вы такой злой потому, что лысый , Аноним, 08-Окт-21, 20:49 (50)
        Он зол, но справедлив В наше время без этого никак , Аноним, 09-Окт-21, 00:21 (56)
        
        А в чём смысл этой справедливости поха , Аноним, 09-Окт-21, 10:26 (75)
- Не на раст а просто запускать в докере , Terraforming, 08-Окт-21, 15:32 (34) //
  - А докер в докере с докером добавив докер спросив о докере , Alladin, 08-Окт-21, 23:50 (55) //
    - Docker это старый добрый chroot только лучше Apache еще в 2002 запускали в chro, Terraforming, 09-Окт-21, 04:14 (63)
      - чем лучше - чем грузины https www cvedetails com product 28125 Docker-Docker h, пох., 09-Окт-21, 09:24 (69)
- Согласен, такую халтуру с путями сделать это смешно Я не осведомлен какие апи ис, Alladin, 08-Окт-21, 23:49 (54) //
  - Если rust локальные файлы открывает с перекодировкой из url encoding то у меня д, Аноним, 09-Окт-21, 03:20 (61)
Два релиза в неделю Вот что Раст от-контроля-отучающий делать может , Аноним, 08-Окт-21, 12:53 (32) //
- С 28 сентября ажно 3 Вот и уровень современных сишников Под деградацию протаща, Аноним, 08-Окт-21, 13:32 (33) //
  - Дык раст изначально под деградатов делали , BorichL, 08-Окт-21, 15:51 (35) //
    - Правильно Которые в си осилили так, как есть На примере сабжа даже видно Но чт, Аноним, 08-Окт-21, 16:14 (36)
      - так что со старым все в общем хорошо Остается расслабиться и подождать еще одно , пох., 08-Окт-21, 19:22 (42)
        
        Так то оно так, но не забываем о 28 сентября https www vuxml org freebsd 882a, Аноним, 08-Окт-21, 19:55 (44)
        
        Или от 23 сентябряhttps www cvedetails com cve CVE-2021-40146 , Аноним, 08-Окт-21, 20:02 (45)
        
        Сам не юзаю папач года полтора Смотрю на все и понимаю, вовремя срулил , Аноним, 08-Окт-21, 20:03 (46)
        это не имеет ни малейшего отношения к httpd Уровень впопеннета, чо , пох., 08-Окт-21, 20:26 (49)
        
        Соряю, мой косяк Не тот линк спастилсяhttps www cvedetails com vulnerability-, Аноним, 08-Окт-21, 22:22 (51)
        
        Ну а если не копипастить а еще и читать - там большая часть проблем традиционно , пох., 09-Окт-21, 09:18 (68)
        
        Почему ты считаешь, что если культура производства этого мода такая, то в осталь, Аноним, 09-Окт-21, 10:09 (72)
        
        Ну а суть человеков не менялась с времен начала нашей эры Менялись лишь декорац, Аноним, 09-Окт-21, 10:17 (74)
        перечитай Старшую Эдду Еще как менялась Ну или нартский эпос, куда удобочитаем, пох., 09-Окт-21, 12:20 (80)
        Да чего далеко ходить Тут в соседнем треде все Народ гагаринский, свиньи, русс, Аноним, 09-Окт-21, 13:47 (82)
        Дополню себя В след итерации есть шанс изменить ход , Аноним, 09-Окт-21, 14:05 (84)
        
        Как не парадоксально, но послевоенный мир всегда ознаменовывается подьемом Как , Аноним, 09-Окт-21, 11:11 (78)
        
        Ты не путай послевоенный мир и гибель пережравших смузи цивилизаций С 1 по 10 в, пох., 09-Окт-21, 12:06 (79)
        Вот ведь интересно Из раза в раз мы с тобой возвращаемся к этой теме Шли годы , Аноним, 09-Окт-21, 13:53 (83)
        да нет, откуда Готские войны - банально жрать нечего Обоим сторонам Кто были , пох., 09-Окт-21, 14:12 (85)
        Правильно, но все это мотивировалось чем, тем, что у кого-то было не так Другой, Аноним, 09-Окт-21, 14:34 (88)
  - Хруст будет очень сложно протащить под деградацию , потому что он и так находит, Онаним, 09-Окт-21, 11:08 (77)
Ну всё правильного http головного мозга , Аноним, 08-Окт-21, 18:58 (40)
Lighthttpd норм сервер , Аноним, 09-Окт-21, 00:57 (58) //
- Для отдачи статики норм Лайти для этого обычно применяют Закрываешь им или хдв, Аноним, 09-Окт-21, 01:17 (59) //
  - Спасибо Мне для статики fascgi Просто хотелось убедиться, что у него нет реп, Аноним, 09-Окт-21, 01:58 (60) //
    - Да он дырявый, ты не беспокойся , Аноним, 09-Окт-21, 08:15 (66)
    - Нет, репутации дырявого за ним нет https www cvedetails com product 4762 Light, Аноним, 09-Окт-21, 09:59 (71)
    - Тут скорее в скрипты смотреть Там дыр обычно больше , Аноним, 09-Окт-21, 10:11 (73)
Какие то извращенцы Зачем соваться блокировать 2Е в URI, кстати проделывая лиш, _kp, 11-Окт-21, 11:52 (90) //
- Такой вот уровень программистов поколения растаманов , Аноним, 13-Окт-21, 08:15 (92)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру