CVE-2021-41773
Açıklama
Apache HTTP Server 2.4.49 sürümündeki yol normalleştirmesine yapılan bir değişiklikte hata bulundu. Bir saldırgan, URL'leri Alias benzeri direktiflerle yapılandırılan dizinlerin dışındaki dosyalara eşlemek için bir path traversal saldırısı kullanabilir. Bu dizinlerin dışındaki dosyalar standart varsayılan "require all denied" yapılandırmasıyla korunmuyorsa, bu istekler başarılı olabilir. Eğer bu takma adlandırılmış yollar için CGI scriptleri de etkinleştirilmişse, bu durum uzaktan kod çalıştırmaya olanak tanıyabilir. Bu sorunun gerçek dünyada istismar edildiği bilinmektedir. Bu sorun yalnızca Apache 2.4.49 sürümünü etkilemekte olup daha önceki sürümleri etkilememektedir. Apache HTTP Server 2.4.50 sürümündeki düzeltmenin eksik olduğu tespit edilmiştir, bkz. CVE-2021-42013.
Nasıl düzeltilir
Üreticinin yayımladığı güncellemeleri uygulayın.
CISA son tarihi: 17 Kas 2021- tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-apache-httpd-pathtrv-LAzg68cZ
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/RMIIEFINL6FUIOPD2A3M5XC6DH45Y3CC/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WS5RVHOIIRECG65ZBTZY7IEJVWQSQPG3/
- security.gentoo.org/glsa/202208-20
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache http_server | 2.4.49 | — |
| fedoraproject fedora | 34, 35 | — |
| oracle instantis_enterprisetrack | 17.1, 17.2, 17.3 | — |
| netapp cloud_backup | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.