【缝隙公告】Apache远程代码执行缝隙（CVE-2021-42013）
颁布功夫 2021-10-080x00 缝隙概述
CVE ID | CVE-2021-42013 | 时 间 | 2021-10-07 |
类 型 | RCE | 等 级 | 严重 |
远程利用 | 是 | 影响领域 | 2.4.49、、、2.4.50 |
攻击复杂度 | 可用性 | ||
用户交互 | 所需权限 | ||
PoC/EXP | 在野利用 | 是 |
0x01 缝隙详情
Apache HTTP Server 是一个开源、、、跨平台的 Web 服务器，，，它在全球领域内被宽泛使用。。。
2021 年 10 月 7 日，，，Apache 软件基金会颁布了Apache HTTP Server 2.4.51 ，，，以修复 Apache HTTP Server 2.4.49 和 2.4.50 中的蹊径遍历和远程代码执行缝隙（CVE-2021-41773、、、CVE-2021-42013），，，目前这些缝隙已被宽泛利用。。。
Apache HTTP Server蹊径遍历缝隙（CVE-2021-41773）
2021年10月5日，，，Apache颁布更新布告，，，修复了Apache HTTP Server 2.4.49中的一个蹊径遍历和文件泄露缝隙（CVE-2021-41773）。。。
攻击者能够通过蹊径遍历攻击将 URL 映射到预期文档根目录之外的文件，，，若是文档根目录之外的文件不受“require all denied” 接见节制参数的�；；�，，，则这些恶意要求就会成功。。。除此之外，，，该缝隙还可能会导致泄漏 CGI 剧本等诠释文件的起源。。。
Shodan搜索显示，，，全球部署有超过十万个，，，其中很多服务器中可能存在此缝隙，，，并且此缝隙目前已被宽泛利用，，，建议有关用户尽快更新。。。
Apache HTTP Server蹊径遍历和远程代码执行缝隙（CVE-2021-42013）
由于对CVE-2021-41773的修复不充分，，，攻击者能够使用蹊径遍历攻击，，，将URL映射到由类似别号的指令配置的目录之外的文件，，，若是这些目录外的文件没有受到默认配置"require all denied "的�；；�，，，则这些恶意要求就会成功。。。若是还为这些别号蹊径启用了 CGI 剧本，，，则可能导致远程代码执行。。。
影响领域
Apache HTTP Server 2.4.49
Apache HTTP Server 2.4.50
0x02 措置建议
目前这些缝隙已经修复，，，鉴于缝隙的严重性，，，建议受影响的用户立即升级更新到Apache HTTP Server 2.4.51（已于10月7日颁布）或更高版本。。。
下载链接：：
https://httpd.apache.org/download.cgi#apache24
0x03 参考链接
https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2021-42013
http://mail-archives.apache.org/mod_mbox/www-announce/202110.mbox/%3C7c4d9498-09ce-c4b4-b1c7-d55512fdc0b0@apache.org%3E
https://www.bleepingcomputer.com/news/security/apache-emergency-update-fixes-incomplete-patch-for-exploited-bug/
0x04 更新版本
版本 | 日期 | 批改内容 |
V1.0 | 2021-10-06 | 初次颁布 |
V1.1 | 2021-10-08 | 增长CVE-2021-42013缝隙信息等 |
0x05 文档附录
CNVD：：www.cnvd.org.cn
CNNVD：：www.cnnvd.org.cn
CVE：：cve.mitre.org
CVSS：：www.first.org
NVD：：nvd.nist.gov
0x06 关于OG东方厅
关注以下公家号，，，获取更多资讯：：
京公网安备11010802024551号