• 我的位置：
  • 首頁
  • -
  • 漏洞預(yù)警
  • -
  • 其他
  • -
    • Apache HTTP Server目錄遍歷漏洞
    • CNNVD編號(hào)：未知
    • 危害等級(jí)： 高危 
    • CVE編號(hào)：CVE-2021-41773&CVE-2021-42013
    • 漏洞類型： 未知
    • 威脅類型：未知
    • 廠       商：未知
    • 漏洞來源：深信服
    • 發(fā)布時(shí)間：2021-10-09
    • 更新時(shí)間：2021-10-09

    漏洞簡(jiǎn)介

    1、組件介紹

    Apache HTTP Server是阿帕奇（Apache）基金會(huì)的一款開源網(wǎng)頁服務(wù)器，可以在大多數(shù)電腦操作系統(tǒng)中運(yùn)行，由于其具有的跨平臺(tái)性和安全性，被廣泛使用，是最流行的Web服務(wù)器端軟件之一。它快速、可靠并且可通過簡(jiǎn)單的API擴(kuò)展，將Perl/Python等解釋器編譯到服務(wù)器中。

    2、漏洞簡(jiǎn)介

     近日，深信服安全團(tuán)隊(duì)監(jiān)測(cè)到一則Apache HTTP Server官方發(fā)布安全補(bǔ)丁的通告，修復(fù)了兩個(gè)嚴(yán)重漏洞。

    序號(hào)

    漏洞名

    漏洞編號(hào)

    影響版本

    嚴(yán)重

    等級(jí)

    1

    Apache HTTP Server目錄遍歷漏洞

    CVE-2021-41773

    Apache HTTP Server 2.4.49

    嚴(yán)重

    2

    Apache HTTP Server目錄遍歷漏洞

    CVE-2021-42013

    Apache HTTP Server 2.4.50

    Apache HTTP Server 2.4.49

    嚴(yán)重

    3、嚴(yán)重漏洞描述

    Apache HTTP Server目錄遍歷漏洞CVE-2021-41773

    該漏洞是由于Apache HTTP Server 2.4.49版本中存在目錄穿越漏洞，攻擊者可利用該漏洞在未授權(quán)的情況下，訪問服務(wù)器中的未在httpd配置文件中標(biāo)記為拒絕請(qǐng)求的文件內(nèi)容，從而導(dǎo)致敏感信息泄露。


    Apache HTTP Server目錄遍歷漏洞CVE-2021-42013

    該漏洞是由于在Apache HTTP Server 2.4.50版本中對(duì)CVE-2021-41773的修復(fù)不夠完善，攻擊者可利用該漏洞繞過修復(fù)補(bǔ)丁，并利用目錄穿越攻擊訪問服務(wù)器中的文件，造成敏感信息泄露。若httpd中開啟了CGI功能，攻擊者可構(gòu)造惡意請(qǐng)求，造成遠(yuǎn)程代碼執(zhí)行。

    漏洞公示

    暫無

    受影響實(shí)體

    Apache HTTP Server具有優(yōu)秀的跨平臺(tái)性，可以運(yùn)行在目前主流的操作系統(tǒng)上，由于其強(qiáng)大的功能和跨平臺(tái)性而被廣泛使用。可能受漏洞影響的資產(chǎn)廣泛分布于世界各地。


        國內(nèi)主要分布在廣東、北京和浙江等地。

    補(bǔ)丁

    1、如何檢測(cè)組件系統(tǒng)版本

     在服務(wù)器后臺(tái)輸入命令

    httpd -v

    即可查看當(dāng)前版本號(hào)。

    2、官方修復(fù)建議

    當(dāng)前官方已發(fā)布最新版本，建議受影響的用戶及時(shí)更新升級(jí)到最新版本。鏈接如下：

    https://httpd.apache.org/download.cgi

    3、深信服解決方案

    【深信服下一代防火墻AF】可防御這些漏洞，建議用戶將深信服下一代防火墻開啟 WAF防護(hù)策略，并更新最新安全防護(hù)規(guī)則，即可輕松抵御此高危風(fēng)險(xiǎn)。

    【深信服安全感知管理平臺(tái)SIP】結(jié)合云端實(shí)時(shí)熱點(diǎn)高危/緊急漏洞信息，可快速檢出業(yè)務(wù)場(chǎng)景下的這些漏洞，并可聯(lián)動(dòng)【深信服下一代防火墻等產(chǎn)品AF】實(shí)現(xiàn)對(duì)攻擊者IP的封堵。

    【深信服安全云眼CloudEye】在（CVE-2021-41773,CVE-2021-42013）爆發(fā)之初，已完成檢測(cè)更新，對(duì)所有用戶網(wǎng)站探測(cè)，保障用戶安全。不清楚自身業(yè)務(wù)是否存在漏洞的用戶，可注冊(cè)信服云眼賬號(hào)，獲取30天免費(fèi)安全體驗(yàn)。

    注冊(cè)地址：http://saas.sangfor.com.cn

    【深信服云鏡JY】在（CVE-2021-41773,CVE-2021-42013）爆發(fā)第一時(shí)間即完成檢測(cè)能力的發(fā)布，部署了云鏡的用戶可以通過升級(jí)來快速檢測(cè)網(wǎng)絡(luò)中是否受該高危風(fēng)險(xiǎn)影響，避免被攻擊者利用。離線使用云鏡的用戶需要下載離線更新包來獲得漏洞檢測(cè)能力，可以連接云端升級(jí)的用戶可自動(dòng)獲得漏洞檢測(cè)能力。