Salto local de restricciones IncludesNoExec en Apache

Se ha encontrado un error a la hora de procesar directivas "AllowOverride" y algunos argumentos "Options" en el archivo .htaccess. Esto podría permitir a atacantes locales eludir restricciones de seguridad al ejecutar comandos a través de Server Side Includes, incluso cuando éstos están deshabilitados.

El atacante tendría que escribir "Options +IncludesNoExec" en el archivo ".htaccess" para habilitar el Server Side Includes con privilegios de ejecución (directiva exec).

Los Server Side Include o SSI no son realmente muy usados hoy en día. Lenguajes cono PHP, JSP, ASP... son infinitamente más potentes. Sin embargo los servidores web siguen soportándolo. Las páginas que incluían SSI se diferenciaban normalmente por la extensión shtml o .shtm. La vulnerabilidad permite que un usuario que comparta un servidor público, pueda habilitar la ejecución de SSI, una de las funciones de los Server Side Includes que los administradores de servidores web compartidos suelen deshabilitar precisamente para evitar problemas. La directiva exec permitiría por ejemplo realizar

<!--#exec cmd="ls -l"-->

en una página, y el atacante local podría tener así acceso a zonas sensibles del servidor.

Sergio de los Santos
ssantos@hispasec.com

Más información:

Bug 489436 - (CVE-2009-1195) CVE-2009-1195 AllowOverride Options=IncludesNoExec allows Options Includes
https://bugzilla.redhat.com/show_bug.cgi?id=489436