Aller au contenu
Retour à la recherche

CVE-2021-41773

CRITICAL
9.8 RansomwareNVD

Résumé

généré automatiquement à partir des données NVD

Apache HTTP Server 2.4.49 contient une faille de path traversal (CWE-22) introduite par une modification de la normalisation des chemins : un attaquant peut faire correspondre des URL à des fichiers situés hors des répertoires configurés par les directives de type Alias. Si ces fichiers ne sont pas protégés par « require all denied » et que des scripts CGI sont activés, une exécution de code à distance est possible. La faille figure au catalogue CISA KEV, avec une utilisation connue dans des campagnes de rançongiciel ; elle est notée 9.8 (CRITICAL, CVSS v3.1). Le correctif de la version 2.4.50 a été jugé incomplet (voir CVE-2021-42013).

Description NVD (anglais)

A flaw was found in a change made to path normalization in Apache HTTP Server 2.4.49. An attacker could use a path traversal attack to map URLs to files outside the directories configured by Alias-like directives. If files outside of these directories are not protected by the usual default configuration "require all denied", these requests can succeed. If CGI scripts are also enabled for these aliased pathes, this could allow for remote code execution. This issue is known to be exploited in the wild. This issue only affects Apache 2.4.49 and not earlier versions. The fix in Apache HTTP Server 2.4.50 was found to be incomplete, see CVE-2021-42013.

Partager :

⚠️ Activement exploitée — CISA KEV

Cette CVE a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA le 2021-11-03. Elle est confirmée exploitée dans la nature et doit être patchée en priorité.

Échéance de remédiation (agences fédérales US): 2021-11-17

Utilisée dans des campagnes de ransomware connues.

EPSS · FIRST.org

100,0 %de probabilité d'exploitation dans les 30 prochains jours

Supérieure à 99 % des CVE notées

L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.

Articles d'analyse sur cveo.tech

Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.

Score CVSS v3.1

9.8
/ 10.0
CRITICAL
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Informations

Publié
5 oct. 2021
Mis à jour
17 juin 2026
Statut
Analyzed
Source
security@apache.org

Produits affectés

apache http serverToutes les CVE Apache HTTP Server →
Versions : 2.4.49
fedoraproject fedora
Versions : 34, 35
oracle instantis enterprisetrack
Versions : 17.1, 17.2, 17.3
netapp cloud backup

Faiblesses (CWE)

CWE-22CWE-22

Références (59)

CVEs similaires

Autres vulnérabilités de type CWE-22

…

Surveillez vos produits

Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.

Activer la surveillance