CVE-2021-41773
Apache HTTP Server Path Traversal Vulnerability
Beschreibung
CVE-2021-41773 ist eine kritische Path-Traversal-Schwachstelle im Apache HTTP Server 2.4.49, verursacht durch einen Fehler in der Pfadnormalisierung. Ein Angreifer kann Path-Traversal-Angriffe nutzen, um URLs auf Dateien außerhalb der durch Alias-Direktiven konfigurierten Verzeichnisse abzubilden, und bei aktivierten CGI-Skripten Remote-Code-Ausführung erreichen. Diese Schwachstelle wurde in freier Wildbahn ausgenutzt und ist im CISA KEV-Katalog gelistet. Der ursprüngliche Patch in Apache 2.4.50 war unvollständig (siehe CVE-2021-42013). CVE-2021-41773 wird auch in Ransomware-Kampagnen eingesetzt, und mit einem EPSS-Score von 94,4 % (99,97. Perzentile) ist die Ausnutzung nahezu sicher.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| apache | http server | 2.4.49 |
| fedoraproject | fedora | 34; 35 |
| oracle | instantis enterprisetrack | 17.1; 17.2; 17.3 |
| netapp | cloud backup | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Referenzen
- http://packetstormsecurity.com/files/164418/Apache-HTTP-Server-2.4.49-Path-Traversal-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/164418/Apache-HTTP-Server-2.4.49-Path-Traversal.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/164629/Apache-2.4.49-2.4.50-Traversal-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://packetstormsecurity.com/files/164941/Apache-HTTP-Server-2.4.50-Remote-Code-Execution.html(Exploit, Third Party Advisory, VDB Entry)
- http://www.openwall.com/lists/oss-security/2021/10/05/2(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/10/07/1(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/10/07/6(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/10/08/1(Exploit, Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/10/08/2(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/10/08/3(Exploit, Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/10/08/4(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/10/08/5(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/10/08/6(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/10/09/1(Mailing List, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/10/11/4(Mailing List, Patch, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/10/15/3(Mailing List, Patch, Third Party Advisory)
- http://www.openwall.com/lists/oss-security/2021/10/16/1(Mailing List, Third Party Advisory)
- https://httpd.apache.org/security/vulnerabilities_24.html(Release Notes, Vendor Advisory)
- https://lists.apache.org/thread.html/r17a4c6ce9aff662efd9459e9d1850ab4a611cb23392fc68264c72cb3%40%3Ccvs.httpd.apache.org%3E(Mailing List, Patch)
- https://lists.apache.org/thread.html/r6abf5f2ba6f1aa8b1030f95367aaf17660c4e4c78cb2338aee18982f%40%3Cusers.httpd.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/r7c795cd45a3384d4d27e57618a215b0ed19cb6ca8eb070061ad5d837%40%3Cannounce.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/r98d704ed4377ed889d40479db79ed1ee2f43b2ebdd79ce84b042df45%40%3Cannounce.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/rb5b0e46f179f60b0c70204656bc52fcb558e961cb4d06a971e9e3efb%40%3Cusers.httpd.apache.org%3E(Mailing List)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/RMIIEFINL6FUIOPD2A3M5XC6DH45Y3CC/(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WS5RVHOIIRECG65ZBTZY7IEJVWQSQPG3/(Release Notes)
- https://security.gentoo.org/glsa/202208-20(Third Party Advisory)
- https://security.netapp.com/advisory/ntap-20211029-0009/(Third Party Advisory)
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-apache-httpd-pathtrv-LAzg68cZ(Third Party Advisory)
- https://www.oracle.com/security-alerts/cpujan2022.html(Patch, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-41773(US Government Resource)
Schwachstellentyp
CWE-22: Unzureichende Einschränkung eines Pfadnamens auf ein beschränktes Verzeichnis ('Path Traversal')
Im Apache HTTP Server 2.4.49 besteht die Path-Traversal-Schwachstelle aufgrund eines Fehlers in der Pfadnormalisierung. Der Server neutralisiert Verzeichnisdurchquerungssequenzen in URLs nicht ordnungsgemäß, wodurch Angreifer die vorgesehene Verzeichnisstruktur verlassen und auf Dateien außerhalb des Web-Root und der Alias-konfigurierten Verzeichnisse zugreifen oder diese ausführen können.
Weitere Informationen: CWE-22 — Unzureichende Einschränkung eines Pfadnamens auf ein beschränktes Verzeichnis
Auswirkungsanalyse
CVE-2021-41773 hat einen CVSS 3.1-Score von 9,8 (CRITICAL) und stellt die höchste Schweregradkategorie dar. Die Schwachstelle ist über das Netzwerk bei geringer Komplexität ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Eine erfolgreiche Ausnutzung kann die Vertraulichkeit durch Zugriff auf sensible Dateien gefährden, unbefugte Datenänderungen ermöglichen und vollständige Dienstunterbrechungen verursachen. Der EPSS-Score von 94,4 % zeigt nahezu sichere Ausnutzungsaktivität, und die Verwendung in Ransomware-Kampagnen macht dies zu einer Notfall-Bedrohung. Organisationen mit Apache HTTP Server 2.4.49 müssen sofort aktualisieren — Version 2.4.50 enthielt einen unvollständigen Fix, ein Upgrade auf 2.4.51 oder neuer ist erforderlich.
Exploit-Reifegrad
CVE-2021-41773 verfügt über umfangreiche Exploit-Reife mit bestätigter aktiver Ausnutzung. CISA hat die Schwachstelle im KEV-Katalog gelistet, und Ransomware-Betreiber nutzen sie. Öffentlich verfügbarer Exploit-Code ist von mehreren Quellen verfügbar, darunter Packet Storm Security und weitere Exploits. Der ursprüngliche Patch in Apache 2.4.50 war unvollständig (CVE-2021-42013) — Organisationen müssen auf 2.4.51 oder neuer aktualisieren. Der EPSS-Score von 94,4 % (99,97. Perzentile) bestätigt nahezu sichere Ausnutzung.
Behebung
- Apache HTTP Server sofort aktualisieren gemäß CISA-KEV-Pflichtmaßnahme: Apply updates per vendor instructions. Aktualisieren Sie direkt auf Apache HTTP Server 2.4.51 oder neuer — stoppen Sie NICHT bei Version 2.4.50, da diese einen unvollständigen Fix enthielt (siehe CVE-2021-42013).
- Überprüfen Sie, dass alle Instanzen von Apache HTTP Server 2.4.49 aktualisiert wurden, einschließlich der in Oracle-, Fedora- und NetApp-Umgebungen eingesetzten.
- Stellen Sie als Zwischenmaßnahme sicher, dass Verzeichnisse außerhalb des Document Root mit "require all denied"-Direktiven geschützt sind und CGI-Ausführung für Alias-Pfade deaktiviert ist.
- Prüfen Sie Webserver-Zugriffsprotokolle auf Path-Traversal-Muster und führen Sie Threat Hunting durch, um festzustellen, ob die Schwachstelle vor dem Patching ausgenutzt wurde.
- Setzen Sie eine Web Application Firewall mit Path-Traversal-Erkennungsregeln ein und aktivieren Sie Echtzeit-Monitoring für anomale Dateizugriffe.
Technische Details
CVE-2021-41773 ist eine Path-Traversal-Schwachstelle im Apache HTTP Server 2.4.49, eingeführt durch einen Fehler in der Pfadnormalisierung. Die Schwachstelle ermöglicht Angreifern, URL-Anfragen mit kodierten Verzeichnisdurchquerungssequenzen zu erstellen, die die Pfadnormalisierung umgehen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H reflektiert maximale Ausnutzbarkeit. Bei fehlenden "require all denied"-Einschränkungen für Verzeichnisse außerhalb des Document Root ermöglicht der Traversal unautorisierten Dateizugriff. Bei aktivierten CGI-Skripten eskaliert die Schwachstelle zu vollständiger Remote-Code-Ausführung. Der Fix in Apache 2.4.50 war unvollständig (CVE-2021-42013), ein Update auf 2.4.51 ist erforderlich.
Häufig gestellte Fragen
Wird CVE-2021-41773 aktiv ausgenutzt?
Ja. CVE-2021-41773 wurde vor der Offenlegung in freier Wildbahn ausgenutzt und ist im CISA KEV-Katalog gelistet. Die Schwachstelle wird in Ransomware-Kampagnen eingesetzt. Der EPSS-Score von 94,4 % (99,97. Perzentile) zeigt nahezu sichere Ausnutzung.
Welche Produkte sind von CVE-2021-41773 betroffen?
CVE-2021-41773 betrifft ausschließlich Apache HTTP Server Version 2.4.49. Zusätzlich betroffen sind Fedora 34 und 35, Oracle Instantis EnterpriseTrack (17.1-17.3) und NetApp Cloud Backup.
Wie behebe ich CVE-2021-41773?
Aktualisieren Sie Apache HTTP Server direkt auf Version 2.4.51 oder neuer. Aktualisieren Sie NICHT auf 2.4.50, da diese Version einen unvollständigen Fix enthielt, der durch CVE-2021-42013 umgangen wurde. Schützen Sie zwischenzeitlich Verzeichnisse außerhalb des Document Root mit "require all denied".
Wie schwerwiegend ist CVE-2021-41773?
CVE-2021-41773 hat einen CVSS 3.1-Score von 9,8 (CRITICAL) und einen EPSS-Score von 94,4 % (99,97. Perzentile). Die Schwachstelle ermöglicht Remote-Code-Ausführung ohne Authentifizierung und wird in Ransomware-Kampagnen eingesetzt.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.