Identificata e corretta una pericolosa vulnerabilità di sicurezza nel software di gestione dei server di Rete più popolare in assoluto. Particolarmente a rischio sono i server condivisi, mentre un elenco dei servizi più colpiti dalla falla include i soliti nomi noti.
La piattaforma per server Web Apache è vulnerabile a una possibile compromissione da parte di attori malevoli, potenzialmente in grado di agire, da un account con privilegi locali, per elevare i privilegi di accesso fino al livello root. E quando un criminale o un malware arrivano al livello root è game over, per la sicurezza del server preso di mira.
L’origine del problema è CVE-2019-0211, una vulnerabilità scoperta dal ricercatore ed esperto di sicurezza Charles Fol all’interno delle versioni 2.4 di Apache HTTP Server comprese fra le release 2.4.17 e 2.4.38 su server UNIX-like. Una volta ottenuto i più alti privilegi di accesso, spiega Fol, un malintenzionato può in pratica fare qualsiasi cosa sul server compreso sovrascrivere parti “sensibili” della memoria o dei database ivi presenti.
La falla CVE-2019-0211 può diventare ancora più pericolosa quando utilizzata assieme ad altre vulnerabilità in grado di permettere l’accesso limitato a un server Apache da remoto, dicono i ricercatori, ed è teoricamente in grado di generare il massimo dei danni sui server Web condivisi: un accesso root garantirebbe gli stessi privilegi dell’host di rete, permettendo di agire in totale libertà cancellando gli account degli utenti, modificando i database (magari infettandoli con codice malevolo e botnet) e molto altro ancora.
Apache è la piattaforma di server Web più utilizzata in assoluto, e stando alle statistiche circa 2 milioni di sistemi Apache sono risultati vulnerabili a CVE-2019-0211. Fra i servizi di rete più colpiti spiccano quelli offerti da Amazon AWS (19,3%), Digital Ocean (8,6%), Google Cloud (2,1%), Microsoft Azure (1,1%) e altri.
L’unica soluzione possibile alla nuova falla di elevazione dei privilegi di accesso consiste nell’aggiornamento del software Apache alla release 2.4.39, una update la cui responsabilità ricade giocoforza sulle piattaforme di Web hosting nel caso dei suddetti server condivisi.