PT-2021-4295 · Apache+1 · Apache Http Server+1

CVE-2021-42013 · Publicado 2021-10-07 · Atualizado 2026-07-12

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Apache HTTP Server versão 2.4.49 Apache HTTP Server versão 2.4.50

Description Uma correção insuficiente para um problema anterior de salto de caminho permite que um invasor mapeie URLs para arquivos fora dos diretórios configurados por diretivas do tipo Alias. Se esses arquivos não estiverem protegidos pela configuração padrão "require all denied", as solicitações podem ter sucesso. Além disso, se scripts CGI estiverem habilitados para esses caminhos com alias, isso pode levar à execução remota de código. A exploração no mundo real foi observada envolvendo um shell autopropagável que transforma hosts comprometidos em novos nós de varredura e entrega, com algumas campanhas envolvendo um cluster de 1.001 endereços IP em centenas de redes.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

RCE

DoS

Path traversal

OS Command Injection

Enumeração de Fraquezas

CWE-22

CWE-78

Identificadores relacionados

ALSA-2025_16880

ALT-PU-2021-2994

ALT-PU-2021-3013

ALT-PU-2021-3018

ALT-PU-2021-3037

ALT-PU-2021-3060

BDU:2021-04904

BIT-APACHE-2021-42013

CVE-2021-42013

MGASA-2021-0470

OPENSUSE-SU-2024:11560-1

Produtos afetados

Alt Linux

Apache Http Server

Referências · 132

• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/auxiliary/scanner/http/apache_normalize_path.rb · Exploit
• 🔥 https://github.com/rapid7/metasploit-framework/blob/master/modules/exploits/multi/http/apache_normalize_path_rce.rb · Exploit
• 🔥 https://github.com/tangxiaofeng7/CVE-2022-22947-Spring-Cloud-Gateway · Exploit
• 🔥 https://github.com/walnutsecurity/cve-2021-42013 · Exploit
• 🔥 https://github.com/Vulnmachines/cve-2021-42013 · Exploit
• 🔥 https://github.com/andrea-mattioli/apache-exploit-CVE-2021-42013 · Exploit
• 🔥 https://github.com/asaotomo/CVE-2021-42013-Apache-RCE-Poc-Exp · Exploit
• 🔥 https://github.com/TheLastVvV/CVE-2021-42013_Reverse-Shell · Exploit
• 🔥 https://github.com/twseptian/cve-2021-42013-docker-lab · Exploit
• 🔥 https://github.com/BassoNicolas/CVE-2021-42013 · Exploit
• 🔥 https://exploit-db.com/exploits/50512 · Exploit
• 🔥❌ https://github.com/ahmad4fifz/CVE-2021-42013 · Exploit, Deleted
• 🔥 https://exploit-db.com/exploits/50446 · Exploit
• 🔥 https://povilaika.com/apache-2-4-50-exploit · Exploit
• 🔥 http://packetstormsecurity.com/files/164501/Apache-HTTP-Server-2.4.50-Path-Traversal-Code-Execution.html · Exploit