- Aktif istismar
- CWE-22
CVE-2021-41773
Apache HTTP Server 2.4.49'da dizin geçişi ve dosya ifşası zafiyeti
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1849 gün
- Kaydı açan
- apache
ÖzetTürkçe
Apache HTTP Server 2.4.49'da yol normalleştirmesinde yapılan bir değişiklikte bir hata tespit edildi. Bir saldırgan, URL'leri Alias benzeri yönergelerle yapılandırılmış dizinlerin dışındaki dosyalara eşlemek için dizin geçişi (path traversal) saldırısı kullanabilir. Bu dizinlerin dışındaki dosyalar, varsayılan yapılandırmadaki "require all denied" kuralıyla korunmuyorsa, bu istekler başarılı olabilir. Bu takma adlı yollar için CGI betikleri de etkinse, bu durum uzaktan kod çalıştırmaya olanak tanıyabilir. Bu sorunun aktif olarak istismar edildiği bilinmektedir. Sorun yalnızca Apache 2.4.49 sürümünü etkiler, daha eski sürümleri etkilemez. Apache HTTP Server 2.4.50 sürümündeki düzeltmenin eksik olduğu tespit edilmiştir, bkz. CVE-2021-42013.
Kaynaktaki açıklama (İngilizce)
A flaw was found in a change made to path normalization in Apache HTTP Server 2.4.49. An attacker could use a path traversal attack to map URLs to files outside the directories configured by Alias-like directives. If files outside of these directories are not protected by the usual default configuration "require all denied", these requests can succeed. If CGI scripts are also enabled for these aliased pathes, this could allow for remote code execution. This issue is known to be exploited in the wild. This issue only affects Apache 2.4.49 and not earlier versions. The fix in Apache HTTP Server 2.4.50 was found to be incomplete, see CVE-2021-42013.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache HTTP Server | Sürüm belirtilmemiş | – |
Kaynaklar27 kaynak
- CVE.org kaydı
- NVD kaydı
- tools.cisco.com/…dvisory/cisco-sa-apache-httpd-pathtrv-LAzg68cZ Üretici bülteni
- lists.fedoraproject.org/…t.org/message/RMIIEFINL6FUIOPD2A3M5XC6DH45Y3CC Üretici bülteni
- lists.fedoraproject.org/…t.org/message/WS5RVHOIIRECG65ZBTZY7IEJVWQSQPG3 Üretici bülteni
- security.gentoo.org/glsa/202208-20 Üretici bülteni
- httpd.apache.org/security/vulnerabilities_24.html Diğer
- lists.apache.org/…cb2338aee18982f%40%3Cusers.httpd.apache.org%3E Diğer
- lists.apache.org/…ebdd79ce84b042df45%40%3Cannounce.apache.org%3E Diğer
- openwall.com/lists/oss-security/2021/10/05/2 Diğer
- openwall.com/lists/oss-security/2021/10/07/1 Diğer
- lists.apache.org/…ca8eb070061ad5d837%40%3Cannounce.apache.org%3E Diğer
- lists.apache.org/…4d06a971e9e3efb%40%3Cusers.httpd.apache.org%3E Diğer
- openwall.com/lists/oss-security/2021/10/07/6 Diğer
- openwall.com/lists/oss-security/2021/10/08/1 Diğer
- lists.apache.org/…3392fc68264c72cb3%40%3Ccvs.httpd.apache.org%3E Diğer
- openwall.com/lists/oss-security/2021/10/08/2 Diğer
- openwall.com/lists/oss-security/2021/10/08/3 Diğer
- openwall.com/lists/oss-security/2021/10/08/4 Diğer
- openwall.com/lists/oss-security/2021/10/08/6 Diğer
- openwall.com/lists/oss-security/2021/10/08/5 Diğer
- openwall.com/lists/oss-security/2021/10/09/1 Diğer
- packetstormsecurity.com/…/Apache-HTTP-Server-2.4.49-Path-Traversal.html Diğer
- packetstormsecurity.com/…4.49-Path-Traversal-Remote-Code-Execution.html Diğer
- openwall.com/lists/oss-security/2021/10/11/4 Diğer
- openwall.com/lists/oss-security/2021/10/15/3 Diğer
- openwall.com/lists/oss-security/2021/10/16/1 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.