【漏洞通告】Apache HTTPd 2.4.49 路徑穿越與命令執行漏洞（CVE-2021-41773）

2021年10月6日，阿里云應急響應中心監測到 Apache HTTPd官方發布安全更新，披露了CVE-2021-41773 Apache HTTPd 2.4.49 路徑穿越漏洞。

01漏洞描述

Apache HTTPd是Apache基金會開源的一款流行的HTTP服務器。2021年10月6日Apache HTTPd官方發布安全更新，披露了CVE-2021-41773 Apache HTTPd 2.4.49 路徑穿越漏洞。在其2.4.49版本中，引入了一個路徑穿越漏洞。在路徑穿越目錄允許被訪問的的情況下，例如配置了 <Directory />Require all granted</Directory>，攻擊者可利用該路徑穿越漏洞讀取到Web目錄之外的其他文件。同時若Apache HTTPd開啟了cgi支持，攻擊者可構造惡意請求執行命令，控制服務器。阿里云應急響應中心提醒 Apache HTTPd 用戶盡快采取安全措施阻止漏洞攻擊。

02漏洞評級

CVE-2021-41773 Apache HTTPd 2.4.49 路徑穿越與命令執行漏洞 高危

03影響版本

Apache HTTPd 2.4.49版本 且穿越的目錄允許被訪問。

04安全版本

• Apache HTTPd <= 2.4.48 版本
• Apache HTTPd >= 2.4.51 版本

05安全建議

1、若低于 2.4.49版本，可不升級。

2、若Apache HTTPd為 2.4.49版本，請盡快升級至最新版本。

06相關鏈接

1、https://httpd.apache.org/security/vulnerabilities_24.html

2、https://help.aliyun.com/noticelist/articleid/1060919610.html