漏洞描述

Apache HTTPd是Apache基金會開源的一款流行的HTTP服務器。2021年10月8日Apache HTTPd官方發布安全更新，披露了CVE-2021-42013 Apache HTTPd 2.4.49/2.4.50 路徑穿越漏洞。由于對CVE-2021-41773 Apache HTTPd 2.4.49 路徑穿越漏洞的修復不完善，攻擊者可構造惡意請求繞過補丁，利用穿越漏洞讀取到Web目錄之外的其他文件。同時若Apache HTTPd開啟了cgi支持，攻擊者可構造惡意請求執行命令，控制服務器。阿里云應急響應中心提醒 Apache HTTPd 用戶盡快采取安全措施阻止漏洞攻擊。

漏洞評級

CVE-2021-42013 Apache HTTPd 2.4.49/2.4.50 路徑穿越與命令執行漏洞 高危

影響版本

Apache HTTPd 2.4.49/2.4.50版本

安全版本

Apache HTTPd <= 2.4.48 版本

Apache HTTPd >= 2.4.51 版本

安全建議

1、若非2.4.49/2.4.50版本，可不升級。

2、若Apache HTTPd為 2.4.49版本或2.4.50版本，請盡快升級至最新版本。

相關鏈接

1、https://httpd.apache.org/security/vulnerabilities_24.html

2、https://help.aliyun.com/noticelist/articleid/1060919610.html