CVE-2021-42013

Atakujący wysyła spreparowane żądanie HTTP zawierające sekwencję path traversal (np. z zakodowanymi znakami), która pozwala wyjść poza katalogi zdefiniowane za pomocą dyrektyw typu Alias. Jeżeli pliki poza tymi katalogami nie są chronione domyślną konfiguracją 'require all denied', żądanie zostaje obsłużone przez serwer. Gdy dla danej ścieżki włączona jest obsługa skryptów CGI, atakujący może przesłać payload wykonywalny, co prowadzi do RCE w kontekście procesu serwera Apache.

Atakujący bez żadnych uprawnień może odczytywać dowolne pliki na serwerze, a jeśli włączona jest obsługa CGI — zdalnie wykonywać polecenia systemowe, co skutkuje pełnym przejęciem kontroli nad serwerem (naruszenie poufności, integralności i dostępności).

Należy niezwłocznie zaktualizować Apache HTTP Server do wersji 2.4.51 lub nowszej, w której podatność została prawidłowo usunięta. Niezależnie od aktualizacji zaleca się upewnienie się, że konfiguracja zawiera 'require all denied' dla katalogów poza Document Root oraz wyłączenie CGI tam, gdzie nie jest ono niezbędne. Należy zastosować patche dostępne u producenta zgodnie z referencjami.

Apache HTTP Server w wersjach 2.4.49 oraz 2.4.50; wcześniejsze wersje nie są podatne. Dotyczy również dystrybucji Fedora oraz Oracle Instantis EnterpriseTrack korzystających z tych wersji serwera.

Podatność jest bezpośrednią konsekwencją niedostatecznej poprawki dla CVE-2021-41773 wydanej w Apache 2.4.50. Publicznie dostępne są liczne exploity (m.in. na Packet Storm Security). CISA potwierdziła aktywne wykorzystywanie tej luki w środowiskach produkcyjnych.

CISA KEV — szczegółyi

Dostawcai

Apache ↗

Produkti

HTTP Server

Data dodania do KEVi

3 listopada 2021

Termin remediation (USA)i

17 listopada 2021(po terminie)

Ransomwarei

Aktywne kampanie ransomware używają tej podatności