【漏洞通告】Apache遠程代碼執行漏洞（CVE-2021-42013）
發布時間 2021-10-080x00 漏洞概述
CVE ID | CVE-2021-42013 | 時 間 | 2021-10-07 |
類 型 | RCE | 等 級 | 嚴重 |
遠程利用 | 是 | 影響范圍 | 2.4.49、2.4.50 |
攻擊復雜度 | 可用性 | ||
用戶交互 | 所需權限 | ||
PoC/EXP | 在野利用 | 是 |
0x01 漏洞詳情
Apache HTTP Server 是一個開源、跨平臺的 Web 服務器，它在全球范圍內被廣泛使用。
2021 年 10 月 7 日，Apache 軟件基金會發布了Apache HTTP Server 2.4.51 ，以修復 Apache HTTP Server 2.4.49 和 2.4.50 中的路徑遍歷和遠程代碼執行漏洞（CVE-2021-41773、CVE-2021-42013），目前這些漏洞已被廣泛利用。
Apache HTTP Server路徑遍歷漏洞（CVE-2021-41773）
2021年10月5日，Apache發布更新公告，修復了Apache HTTP Server 2.4.49中的一個路徑遍歷和文件泄露漏洞（CVE-2021-41773）。
攻擊者可以通過路徑遍歷攻擊將 URL 映射到預期文檔根目錄之外的文件，如果文檔根目錄之外的文件不受“require all denied” 訪問控制參數的保護，則這些惡意請求就會成功。除此之外，該漏洞還可能會導致泄漏 CGI 腳本等解釋文件的來源。
Shodan搜索顯示，全球部署有超過十萬個，其中許多服務器中可能存在此漏洞，并且此漏洞目前已被廣泛利用，建議相關用戶盡快更新。
Apache HTTP Server路徑遍歷和遠程代碼執行漏洞（CVE-2021-42013）
由于對CVE-2021-41773的修復不充分，攻擊者可以使用路徑遍歷攻擊，將URL映射到由類似別名的指令配置的目錄之外的文件，如果這些目錄外的文件沒有受到默認配置"require all denied "的保護，則這些惡意請求就會成功。如果還為這些別名路徑啟用了 CGI 腳本，則能夠導致遠程代碼執行。
影響范圍
Apache HTTP Server 2.4.49
Apache HTTP Server 2.4.50
0x02 處置建議
目前這些漏洞已經修復，鑒于漏洞的嚴重性，建議受影響的用戶立即升級更新到Apache HTTP Server 2.4.51（已于10月7日發布）或更高版本。
下載鏈接：
https://httpd.apache.org/download.cgi#apache24
0x03 參考鏈接
https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2021-42013
http://mail-archives.apache.org/mod_mbox/www-announce/202110.mbox/%3C7c4d9498-09ce-c4b4-b1c7-d55512fdc0b0@apache.org%3E
https://www.bleepingcomputer.com/news/security/apache-emergency-update-fixes-incomplete-patch-for-exploited-bug/
0x04 更新版本
版本 | 日期 | 修改內容 |
V1.0 | 2021-10-06 | 首次發布 |
V1.1 | 2021-10-08 | 增加CVE-2021-42013漏洞信息等 |
0x05 文檔附錄
CNVD：www.cnvd.org.cn
CNNVD：www.cnnvd.org.cn
CVE：cve.mitre.org
CVSS：www.first.org
NVD：nvd.nist.gov
0x06 關于我們
關注以下公眾號，獲取更多資訊：
京公網安備11010802024551號