安全通告
Apache HTTPd 2.4.49/2.4.50 路徑穿越與命令執(zhí)行漏洞安全風(fēng)險通告
發(fā)布日期：2021-10-8
?
漏洞描述
2021年10月8日，監(jiān)測到 Apache HTTPd官方發(fā)布安全更新，披露了CVE-2021-42013
Apache HTTPd 2.4.49/2.4.50路徑穿越與命令執(zhí)行漏洞。
Apache HTTPd是Apache基金會開源的一款流行的HTTP服務(wù)器。由于對CVE-2021-41773?Apache HTTPd 2.4.49路徑穿越漏洞的修復(fù)不完善，攻擊者可構(gòu)造惡意請求繞過補丁，利用穿越漏洞讀取到Web目錄之外的其他文件。同時若Apache HTTPd開啟了cgi支持，攻擊者可構(gòu)造惡意請求執(zhí)行命令，控制服務(wù)器。
對此，禹宏信安提醒 Apache HTTPd 用戶盡快采取安全措施阻止漏洞攻擊。
漏洞編號
CVE-2021-42013
漏洞危害
攻擊者可構(gòu)造惡意請求繞過補丁，利用穿越漏洞讀取到Web目錄之外的其他文件。同時若Apache HTTPd開啟了cgi支持，攻擊者可構(gòu)造惡意請求執(zhí)行命令，控制服務(wù)器。
漏洞等級
高危
受影響版本
Apache HTTPd 2.4.49/2.4.50版本
安全版本
Apache HTTPd <= 2.4.48 版本
Apache HTTPd >= 2.4.51 版本
修復(fù)方案
1、若非2.4.49/2.4.50版本，可不升級。
2、若Apache HTTPd為 2.4.49版本或2.4.50版本，請盡快升級至最新版本。
參考鏈接
1、https://httpd.apache.org/security/vulnerabilities_24.html