- Aktif istismar
- CWE-22
CVE-2021-42013
Apache HTTP Server 2.4.49 ve 2.4.50'de yol geçişi ve uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 1847 gün
- Kaydı açan
- apache
Yönetici özeti
Web sunucusu yazılımındaki bu açık, internetten herhangi birinin sunucuya izinsiz erişmesine ve kötü amaçlı kod çalıştırmasına yol açabilir. Açığın aktif olarak istismar edildiği bilinmektedir. Etkilenen sürümü kullanan sistemlerin acilen güncellenmesi gerekir.
ÖzetTürkçe
CVE-2021-41773 için Apache HTTP Server 2.4.50 sürümünde yayımlanan düzeltme yetersiz kalmıştır. Saldırgan, yol geçişi (path traversal) yöntemiyle URL'leri Alias benzeri direktiflerle yapılandırılmış dizinlerin dışındaki dosyalara eşleyebilir. Bu dizin dışındaki dosyalar varsayılan yapılandırmasıyla korunmuyorsa istekler başarılı olur. Sorun yalnızca Apache 2.4.49 ve 2.4.50 sürümlerini etkiler, daha eski sürümler etkilenmez.
Saldırgan ne yapabilir?
Saldırgan kimlik doğrulaması olmadan sunucudaki dizin dışı dosyalara erişebilir. Bu takma adlı yollar için CGI betikleri de etkinse uzaktan kod çalıştırma mümkün olabilir.
Kaynaktaki açıklama (İngilizce)
It was found that the fix for CVE-2021-41773 in Apache HTTP Server 2.4.50 was insufficient. An attacker could use a path traversal attack to map URLs to files outside the directories configured by Alias-like directives. If files outside of these directories are not protected by the usual default configuration "require all denied", these requests can succeed. If CGI scripts are also enabled for these aliased pathes, this could allow for remote code execution. This issue only affects Apache 2.4.49 and Apache 2.4.50 and not earlier versions.
CISA'nın önerdiği eylem (İngilizce)
Apply updates per vendor instructions.
Ne yapmalı?
- Apache HTTP Server 2.4.49 veya 2.4.50 kullanıyorsanız, satıcının talimatlarına göre Apache'yi düzeltme içeren güncel bir sürüme yükseltin. Genel öneri
- CISA'nın gerektirdiği işlem: Güncellemeleri satıcı talimatlarına uygun şekilde uygulayın. CISA
- Gerekmiyorsa, bu takma adlı yollar için CGI betiklerini devre dışı bırakın. Genel öneri
Ek önlemler
- Web sunucusu günlüklerinde yol geçişi denemelerine işaret eden olağandışı istekleri (örneğin kodlanmış nokta ve eğik çizgi dizileri) arayın. Genel öneri
- Sunucunun güncelleme öncesinde istismar edilmiş olabileceğini göz önünde bulundurarak sistemi olası ele geçirilme belirtileri açısından inceleyin. Genel öneri
- Apache'yi en az yetkiyle çalıştırın ve gereksiz modülleri ile CGI desteğini kapalı tutun. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache HTTP Server | Sürüm belirtilmemiş | – |
Kaynaklar27 kaynak
- CVE.org kaydı
- NVD kaydı
- tools.cisco.com/…dvisory/cisco-sa-apache-httpd-pathtrv-LAzg68cZ Üretici bülteni
- lists.fedoraproject.org/…t.org/message/RMIIEFINL6FUIOPD2A3M5XC6DH45Y3CC Üretici bülteni
- lists.fedoraproject.org/…t.org/message/WS5RVHOIIRECG65ZBTZY7IEJVWQSQPG3 Üretici bülteni
- security.gentoo.org/glsa/202208-20 Üretici bülteni
- jvn.jp/en/jp/JVN51106450/index.html Üçüncü taraf
- httpd.apache.org/security/vulnerabilities_24.html Diğer
- lists.apache.org/…ca8eb070061ad5d837%40%3Cannounce.apache.org%3E Diğer
- lists.apache.org/…4d06a971e9e3efb%40%3Cusers.httpd.apache.org%3E Diğer
- openwall.com/lists/oss-security/2021/10/07/6 Diğer
- openwall.com/lists/oss-security/2021/10/08/1 Diğer
- lists.apache.org/…3392fc68264c72cb3%40%3Ccvs.httpd.apache.org%3E Diğer
- openwall.com/lists/oss-security/2021/10/08/2 Diğer
- openwall.com/lists/oss-security/2021/10/08/3 Diğer
- openwall.com/lists/oss-security/2021/10/08/4 Diğer
- openwall.com/lists/oss-security/2021/10/08/6 Diğer
- openwall.com/lists/oss-security/2021/10/08/5 Diğer
- openwall.com/lists/oss-security/2021/10/09/1 Diğer
- openwall.com/lists/oss-security/2021/10/11/4 Diğer
- openwall.com/lists/oss-security/2021/10/15/3 Diğer
- openwall.com/lists/oss-security/2021/10/16/1 Diğer
- oracle.com/security-alerts/cpujan2022.html Diğer
- security.netapp.com/advisory/ntap-20211029-0009 Diğer
- packetstormsecurity.com/…49-2.4.50-Traversal-Remote-Code-Execution.html Diğer
- packetstormsecurity.com/…-HTTP-Server-2.4.50-Remote-Code-Execution.html Diğer
- packetstormsecurity.com/…rver-2.4.50-Path-Traversal-Code-Execution.html Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.