CVE-2021-42013
Açıklama
Apache HTTP Server 2.4.50 sürümündeki CVE-2021-41773 düzeltmesinin yetersiz olduğu tespit edilmiştir. Bir saldırgan, URL'leri Alias benzeri direktiflerle yapılandırılan dizinlerin dışındaki dosyalara eşlemek için bir path traversal saldırısı kullanabilir. Bu dizinlerin dışındaki dosyalar standart varsayılan "require all denied" yapılandırmasıyla korunmuyorsa, bu istekler başarılı olabilir. Eğer bu takma adlandırılmış yollar için CGI scriptleri de etkinleştirilmişse, bu durum uzaktan kod çalıştırmaya olanak tanıyabilir. Bu sorun yalnızca Apache 2.4.49 ve Apache 2.4.50 sürümlerini etkilemekte olup daha önceki sürümleri etkilememektedir.
Nasıl düzeltilir
Üreticinin yayımladığı güncellemeleri uygulayın.
CISA son tarihi: 17 Kas 2021- oracle jd_edwards_enterpriseone_tools9.2.6.0 ya da sonraki bir sürüm
- oracle secure_backup18.1.0.1.0 ya da sonraki bir sürüm
- tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-apache-httpd-pathtrv-LAzg68cZ
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/RMIIEFINL6FUIOPD2A3M5XC6DH45Y3CC/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WS5RVHOIIRECG65ZBTZY7IEJVWQSQPG3/
- security.gentoo.org/glsa/202208-20
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache http_server | 2.4.49, 2.4.50 | — |
| fedoraproject fedora | 34, 35 | — |
| oracle instantis_enterprisetrack | 17.1, 17.2, 17.3 | — |
| oracle jd_edwards_enterpriseone_tools | v < 9.2.6.0 | 9.2.6.0 |
| oracle secure_backup | v < 18.1.0.1.0 | 18.1.0.1.0 |
| netapp cloud_backup | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.