CVE-2021-41773: Path Traversal in Apache HTTP Server 2.4.49

Il CVE-2021-41773 descrive una falla nella normalizzazione dei percorsi introdotta in Apache HTTP Server 2.4.49. Un attaccante può sfruttare un path traversal per mappare URL a file al di fuori delle directory protette dalle direttive Alias-like. Se questi file non sono protetti dalla configurazione di default 'require all denied' e gli script CGI sono abilitati su questi percorsi, è possibile l'esecuzione di codice remoto (RCE).

La vulnerabilità ha un CVSS di 9,8, classificato come Critical. Secondo la descrizione ufficiale NVD, lo sfruttamento è confermato attivamente in natura. È cruciale notare che il fix fornito in Apache 2.4.50 è risultato incompleto, rimandando a un secondo avviso (CVE-2021-42013). Questa incompletezza del patch iniziale dimostra la complessità della falla e il rischio che amministratori, aggiornando a 2.4.50 senza ulteriori verifiche, potessero rimanere ancora vulnerabili.

Gli amministratori di sistemi con Apache 2.4.49 devono aggiornare immediatamente verificando che la versione adottata affronta completamente la falla secondo CVE-2021-42013. Controllare la versione Apache in esercizio, verificare CGI abilitati su percorsi aliasati e assicurare 'require all denied' per directory al di fuori dei percorsi Alias. Ricerche pubbliche indicano che questa falla rimane un bersaglio attivo.