El servidor Apache HTTP se basa en cientos de módulos desarrollados de forma independiente para manejar las solicitudes de los clientes, compartiendo una estructura de datos compleja para la comunicación.

Si bien la modularidad promueve la especialización, la falta de interfaces estandarizadas, junto con la escala masiva del sistema, introduce vulnerabilidades potenciales.

A medida que los módulos evolucionan de forma independiente con una comprensión mínima entre sí, pueden surgir inconsistencias y riesgos de seguridad debido a las complejas interacciones dentro de este ecosistema modular.

El investigador de seguridad Orange Tsai de DEVCORE descubrió tres tipos de rutas de ataque de confusión dentro de Apache HTTPd, que explota las ambigüedades en la forma en que los módulos de software interpretan las estructuras de datos compartidas.

Al hacer un mal uso intencional de los campos de estructura, los atacantes pueden manipular el comportamiento del sistema, lo que introdujo tres tipos de ataques específicos: confusión de nombre de archivo, confusión de raíz de documento y confusión de controladores, todos aprovechando las consecuencias no deseadas de que los módulos no comprendan elementos de datos críticos.

El artículo de Tsai explora problemas arquitectónicos dentro del servidor Apache HTTP, destacando varias deudas técnicas dentro de HTTPd, incluidos 3 tipos de ataques de confusión, 9 vulnerabilidades nuevas, 20 técnicas de explotación y más de 30 estudios de casos.

Los efectos de las vulnerabilidades pueden ser tan graves como lograr la ejecución remota de código (RCE) o acceder a cualquier archivo en el servidor comprometido.

Tsai presentó originalmente su investigación, que incluye varias primitivas y un análisis exhaustivo de cómo podrían explotarse, en Black Hat USA 2024.

Los CVE

Tsai descubrió las siguientes vulnerabilidades y las comunicó responsablemente al equipo del proyecto del servidor Apache HTTP. Las vulnerabilidades son las siguientes:

1. CVE-2024-38472 — Apache HTTP Server on Windows UNC SSRF
2. CVE-2024-39573 — Apache HTTP Server: mod_rewrite proxy handler substitution
3. CVE-2024-38477 — Apache HTTP Server: Crash resulting in denial of service in mod_proxy via a malicious request
4. CVE-2024-38476 — Apache HTTP Server may use exploitable/malicious back-end application output to run local handlers via internal redirect
5. CVE-2024-38475 — Apache HTTP Server weakness in mod_rewrite when first segment of substitution matches filesystem path
6. CVE-2024-38474 — Apache HTTP Server weakness with encoded question marks in backreferences
7. CVE-2024-38473 — Apache HTTP Server proxy encoding problem
8. CVE-2023-38709 — Apache HTTP Server: HTTP response splitting
9. CVE-2024-?????? - [redacted]