Apache Kullanıcı Listeleme Zafiyeti

RedHat Linux 7 ve türevlerinde Apache web sunucusunda UserDir modülü aktifse, saldırgan bir kullanıcı adı listesiyle brute force yaparak var olan kullanıcıların listesini çıkarabilir. Her ne kadar bu bir açık olmasa da saldırgan sunucuda public_html dizini olmayan kullanıcıların bir listesini çıkarabilir. Apache talep edilen kullanıcı dizini olmadığında bir hata vermektedir, fakat kullanıcı sistemde bulunuyor ancak kullanıcıya ait public_html dizini bulunmuyorsa, kullanıcı bulunmadığında verdiğinden farklı bir hata mesajı vermektedir. Doğrudan bir hata ya da açık oluşmuyor olsa da, sunucu kimliği 1000’in üzerindeki olası tüm kullanıcı isimleri dışarıya sızabilir.

Sunucunuzda UserDir açık mı test etmek için şu kodu kullanabilirsiniz:

[root@localhost SSL]# apachectl -t -D DUMP_MODULES | grep -i userdir
 userdir_module (shared)

Çözüm

userdir içeren config dosyalarını bulun:

cd /etc/httpd
[root@localhost httpd]# find . -iname '*conf' | xargs grep 'userdir' -sl
./conf.d/userdir.conf
./conf.modules.d/00-base.conf

userdir modulünün yüklenmesini config direktifi önüne # koyarak engelleyebilir:

LoadModule userdir_module modules/mod_userdir.so

ya da UserDir disabled ile kapatabilirsiniz:

<IfModule mod_userdir.c>
    #
    # UserDir is disabled by default since it can confirm the presence
    # of a username on the system (depending on home directory
    # permissions).
    #
    UserDir disabled

    #
    # To enable requests to /~user/ to serve the user's public_html
    # directory, remove the "UserDir disabled" line above, and uncomment
    # the following line instead:
    #
    #UserDir public_html
</IfModule>

Yasal Uyarı

Copyright (c) 2019 – 2026 ONLAYER Bilişim Teknolojileri A.Ş.

Bu sayfadaki içeriğin kullanımı sadece bu sayfaya link ile atıf yapılarak mümkündür. Yazılı izin olmadan değiştirilemez ve alıntı yapılamaz.

Kullanım Uyarısı: Burada belirtilen direktifler olduğu gibidir ve uygulanması sonucunda oluşabilecek servis kesintileri ve veri kaybından ONLAYER sorumlu değildir. Sistemlerin daha iyi çalışabileceği ya da daha güvenli olacağına dair hiç bir garanti verilmemektedir. Ne firma ne de yazar kullanımdan dolayı hiçbir sorumluluk kabul etmemektedir.