CVE-2021-41773
Təsvir
Apache HTTP Server 2.4.49 versiyasındakı yolun normallaşdırılmasına gətirilmiş dəyişiklikdə çatışmazlıq aşkar edilmişdir. Hücumçu, Alias bənzəri direktivlərlə konfiqurasiya edilmiş kataloqlardan kənardakı faylları URL-lərə uyğunlaşdırmaq üçün yol keçidi (path traversal) hücumundan istifadə edə bilər. Əgər bu kataloqlardan kənarda olan fayllar standart "require all denied" konfiqurasiyası ilə qorunmayıbsa, bu sorğular uğurlu ola bilər. Əgər həmin alias yolları üçün CGI skriptləri də aktiv edilibsə, bu, uzaqdan kodun icrasına imkan verə bilər. Bu problemin real mühitdə istismar edildiyi məlumdur. Bu problem yalnız Apache 2.4.49 versiyasına təsir edir və əvvəlki versiyalara aid deyil. Apache HTTP Server 2.4.50 versiyasındakı düzəlişin natamam olduğu müəyyən edilmişdir, bax: CVE-2021-42013.
Necə düzəltmək olar
İstehsalçının dərc etdiyi yeniləmələri tətbiq edin.
CISA son tarixi: 17 noy 2021- tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-apache-httpd-pathtrv-LAzg68cZ
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/RMIIEFINL6FUIOPD2A3M5XC6DH45Y3CC/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WS5RVHOIIRECG65ZBTZY7IEJVWQSQPG3/
- security.gentoo.org/glsa/202208-20
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache http_server | 2.4.49 | — |
| fedoraproject fedora | 34, 35 | — |
| oracle instantis_enterprisetrack | 17.1, 17.2, 17.3 | — |
| netapp cloud_backup | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.