CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2021-41773

Apache HTTP Server 2.4.49 — path traversal i RCE (aktywnie exploitowany)

CVSS 9.8v3.1pub. 2021-10-05upd. 2026-02-17

Błąd w normalizacji ścieżek w Apache HTTP Server 2.4.49 umożliwia atakującemu wykonanie ataku path traversal, prowadzącego do odczytu plików spoza skonfigurowanych katalogów, a w przypadku włączonego CGI — do zdalnego wykonania kodu (RCE). Podatność jest aktywnie wykorzystywana w środowiskach produkcyjnych.

▸ Pokaż oryginał (EN)

A flaw was found in a change made to path normalization in Apache HTTP Server 2.4.49. An attacker could use a path traversal attack to map URLs to files outside the directories configured by Alias-like directives. If files outside of these directories are not protected by the usual default configuration "require all denied", these requests can succeed. If CGI scripts are also enabled for these aliased pathes, this could allow for remote code execution. This issue is known to be exploited in the wild. This issue only affects Apache 2.4.49 and not earlier versions. The fix in Apache HTTP Server 2.4.50 was found to be incomplete, see CVE-2021-42013.

🤖 Analiza AI

Jak działa

Zmiana wprowadzona w Apache HTTP Server 2.4.49 zmodyfikowała sposób normalizacji ścieżek URL, co pozwala atakującemu na skonstruowanie żądania HTTP zawierającego sekwencje path traversal (np. '../') omijające konfiguracje dyrektyw typu Alias. Jeśli katalogi poza skonfigurowanymi ścieżkami nie są chronione domyślną konfiguracją 'require all denied', serwer może obsłużyć takie żądania i zwrócić zawartość nieautoryzowanych plików. Gdy dla tych ścieżek włączona jest obsługa skryptów CGI, atakujący może dostarczyć payload i uzyskać zdalne wykonanie kodu na serwerze. Podatność dotyczy wyłącznie wersji 2.4.49 — wcześniejsze wersje nie są podatne.

Skutki

Atakujący może odczytać dowolne pliki dostępne dla procesu serwera spoza chronionych katalogów, a przy włączonym CGI — wykonać dowolny kod na serwerze z uprawnieniami procesu Apache, co prowadzi do pełnego przejęcia kontroli nad systemem.

Mitygacja

Należy niezwłocznie zaktualizować Apache HTTP Server do wersji wyższej niż 2.4.50 — uwaga: poprawka wprowadzona w wersji 2.4.50 jest niekompletna (patrz CVE-2021-42013). Dodatkowo należy upewnić się, że wszystkie katalogi spoza aliasowanych ścieżek są chronione dyrektywą 'require all denied' oraz wyłączyć obsługę CGI tam, gdzie nie jest wymagana.

Kogo dotyczy

Apache HTTP Server 2.4.49 (wyłącznie ta wersja). Podatność dotyczy również systemów bazujących na tej wersji, w tym Fedora oraz Oracle Instantis EnterpriseTrack.

Uwagi

Poprawka z Apache HTTP Server 2.4.50 została uznana za niekompletną — pełne usunięcie podatności opisano w CVE-2021-42013. Publiczne exploity są dostępne (m.in. w serwisie Packet Storm Security).

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Apache HTTP Server
APP
Apache
2.4.49
Fedora Project Fedora
OS
Fedoraproject
3435
Netapp Cloud Backup
APP
Netapp
wszystkie wersje
Oracle Instantis Enterprisetrack
APP
Oracle
17.117.217.3

CISA KEV — szczegółyi

Dostawcai: Apache ↗
Produkti: HTTP Server
Data dodania do KEVi: 3 listopada 2021
Termin remediation (USA)i: 17 listopada 2021(po terminie)
Ransomwarei: Aktywne kampanie ransomware używają tej podatności

🔧Advisory Apache↗🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj aktualizacje zgodnie z instrukcjami dostawcy.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply updates per vendor instructions.

Opis CISAi

Serwer Apache HTTP zawiera lukę path traversal, która pozwala ataczkowi na wykonanie zdalnego kodu, jeśli pliki poza katalogami skonfigurowanymi przez dyrektywy podobne do Alias nie są objęte domyślnym "require all denied" lub jeśli skrypty CGI są włączone. Oryginalna łata wydana pod tym identyfikatorem CVE jest niewystarczająca, przejrzyj informacje o remediacjach pod numerem CVE-2021-42013.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apache HTTP Server contains a path traversal vulnerability that allows an attacker to perform remote code execution if files outside directories configured by Alias-like directives are not under default �require all denied� or if CGI scripts are enabled. The original patch issued under this CVE ID is insufficient, please review remediation information under CVE-2021-42013.

🔴