Especialistas en ciberseguridad reportan la detección de múltiples vulnerabilidades en Apache HTTP Server. Acorde al reporte, la explotación exitosa de estas fallas permitiría a los actores de amenazas desplegar ataques remotos contra las implementaciones expuestas.

A continuación se muestran breves descripciones de las fallas reportadas, además de sus respectivas claves de identificación y puntajes asignados según el Common Vulnerability Scoring System (CVSS).

CVE-2021-44790: Un error de límite al analizar contenido de varias partes en mod_lua permitiría a los actores de amenazas remotos enviar solicitudes HTTP especialmente diseñadas al servidor web afectado, desencadenar un desbordamiento del búfer y ejecutar código arbitrario en el sistema comprometido.

Esta es una falla crítica y recibió un puntaje CVSS de 8.7/10, ya que su explotación exitosa pondría en riesgo total el sistema afectado.

CVE-2021-44224: Por otra parte, esta falla existe debido a una validación insuficiente de la entrada proporcionada por el usuario en las configuraciones de proxy de reenvío. Los actores de amenazas remotos podrían enviar solicitudes HTTP especialmente diseñadas y engañar al servidor web para que inicie solicitudes a sistemas arbitrarios o bien forzar un bloqueo del servidor web.

Esta es una falla de severidad media y recibió un puntaje CVSS de 6.3/10. Los hackers podrían desplegar un ataque de falsificación de solicitudes del lado del servidor (SSRF) para configuraciones que combinan proxy directo e inverso.

Según el reporte, las vulnerabilidades residen en las siguientes versiones de Apache HTTP Server: 2.4.7, 2.4.8, 2.4.9, 2.4.10, 2.4.11, 2.4.12, 2.4.13, 2.4.14, 2.4.15, 2.4.16, 2.4.17, 2.4.18, 2.4.19, 2.4.20, 2.4.21, 2.4.22, 2.4.23, 2.4.24, 2.4.25, 2.4.26, 2.4.27, 2.4.28, 2.4.29, 2.4.32, 2.4.33, 2.4.34, 2.4.35, 2.4.36, 2.4.37, 2.4.38, 2.4.39, 2.4.40, 2.4.41, 2.4.42, 2.4.43, 2.4.44, 2.4.45, 2.4.46, 2.4.47, 2.4.48, 2.4.49, 2.4.50 & 2.4.51.

A pesar de que las fallas pueden ser explotadas de forma remota por actores de amenazas no autenticados, los expertos en ciberseguridad no han detectado intentos de explotación activa. Aún así, se recomienda a los usuarios de implementaciones afectadas actualizar a la brevedad.

Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).