Apache網頁伺服器漏洞再現

安全顧問公司Context今年10月分析了一個藏匿在Apache網頁伺服器的安全漏洞，該漏洞允許駭客操控逆向代理（reverse proxy）伺服器的配置，並自外部網路存取內部系統，不過，安全研究人員Prutha Parikh上周發現，該宣稱已被修補的漏洞仍然有可能遭攻陷。

逆向代理伺服器為一種普遍的架構，可將外部網路協定的請求傳送到內部的網頁伺服器上，通常用來執行負載平衡，以及將靜態內容自動態內容中分離，並隔絕內部與外部網路以保護內部伺服器不受到外部直接連結所引發的問題。

Context發現駭客能夠破解逆向代理的不安全配置進而存取內部系統，於是與Apache合作修補了該漏洞。不過，Parikh上周表示，他找到一個方式得以再度攻陷完整修補的Apache網頁伺服器，同樣也能自外部網路存取內部系統，而且提交了概念性驗證程式。

基本上，這屬於同一個漏洞，都是因為逆向代理規則遭到錯誤配置所引起，只是首次修補時沒有考量到其他的攻擊途徑。Apache已證實這是一個可靠的攻擊路徑，與其改善第一次的修補程式，Apache選擇了簡單改變配置中的名稱，但目前新的修補程式尚未經過驗證。（編譯/陳曉莉）