CVE-2024-38473
Apache mod_proxy: неоднозначное кодирование URL к backend
CVE-2024-38473 затрагивает Apache httpd до 2.4.60: некорректно закодированный URL может быть передан backend и при отдельных правилах обойти его проверку доступа. Обновите сервер и тестируйте proxy-маршруты.
Кому нужно проверить
Администраторам Apache reverse proxy перед приложениями, где доступ ограничивается по URL-пути. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Путь с некорректным кодированием может интерпретироваться по-разному Apache и backend. Если backend после нормализации допускает доступ к защищённому ресурсу, возможен обход его URL-проверки; эффект зависит от конфигурации обеих сторон.
Затронутые версии
Затронут Apache HTTP Server 2.4.0–2.4.59 с mod_proxy и обработкой URL, где неправильное кодирование позволяет передать backend путь, отличный от ожидаемого. Успех зависит от того, как backend и промежуточные фильтры нормализуют URL и проверяют доступ.
Исправленные версии
Исправлено в Apache HTTP Server 2.4.60. Используйте актуальный поддерживаемый выпуск или пакет поставщика с backport; проверьте прокси-правила и нормализацию на staging.
Что сделать
- 1Инвентаризируйте mod_proxy, ProxyPass/Rewrite правила, backend и проверки авторизации по URL. Уточните, какие компоненты повторно декодируют или нормализуют путь.
- 2Обновите httpd до 2.4.60 или актуального исправленного пакета. Сохраните proxy-конфигурацию и проверьте обычные и разрешённые encoded URL на staging.
- 3До обновления убедитесь, что backend самостоятельно применяет авторизацию после своей канонической нормализации пути; при необходимости временно закройте чувствительный маршрут, не полагаясь только на фильтр proxy.
- 4После выкладки проверьте авторизацию на всех представлениях URL, корректное проксирование и журналы 4xx/5xx. Не публикуйте в тестах реальные секретные endpoint или данные пользователей.
Проверка нормализации URL в proxy-цепочке
Одинаковое правило доступа должно применяться после канонизации пути.
- 1Получить URL на proxy
- 2Проверить проксируемое представление пути
- 3Сверить канонизацию и авторизацию backend
- 4Обновить httpd и повторить функциональные тесты
Примеры конфигурации и проверки
apachectl -tКоманда выполняется локально на сервере и проверяет синтаксис активной конфигурации, не перезапуская службу. Она не проверяет семантику авторизации backend и не моделирует нормализацию URL.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.