Résumé
généré automatiquement à partir des données NVDApache HTTP Server 2.4.49 et 2.4.50 sont touchés par une faille de traversée de chemin (CWE-22) : le correctif de CVE-2021-41773 dans la version 2.4.50 s'est révélé insuffisant. Un attaquant peut faire correspondre des URL à des fichiers situés hors des répertoires configurés par les directives de type Alias, et, si les scripts CGI sont activés pour ces chemins, exécuter du code à distance. La faille est cataloguée CISA KEV (ajoutée le 2021-11-03, utilisée dans des campagnes de rançongiciel) et notée 9.8 (CRITICAL, CVSS v3.1).
Description NVD (anglais)
It was found that the fix for CVE-2021-41773 in Apache HTTP Server 2.4.50 was insufficient. An attacker could use a path traversal attack to map URLs to files outside the directories configured by Alias-like directives. If files outside of these directories are not protected by the usual default configuration "require all denied", these requests can succeed. If CGI scripts are also enabled for these aliased pathes, this could allow for remote code execution. This issue only affects Apache 2.4.49 and Apache 2.4.50 and not earlier versions.
⚠️ Activement exploitée — CISA KEV
Cette CVE a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA le 2021-11-03. Elle est confirmée exploitée dans la nature et doit être patchée en priorité.
Échéance de remédiation (agences fédérales US): 2021-11-17
Utilisée dans des campagnes de ransomware connues.
EPSS · FIRST.org
100,0 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 99 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 7 oct. 2021
- Mis à jour
- 17 juin 2026
- Statut
- Analyzed
- Source
- security@apache.org
Produits affectés
Faiblesses (CWE)
Références (61)
- http://jvn.jp/en/jp/JVN51106450/index.htmlThird Party Advisory
- http://packetstormsecurity.com/files/164501/Apache-HTTP-Server-2.4.50-Path-Traversal-Code-Execution.htmlExploitThird Party AdvisoryVDB Entry
- http://packetstormsecurity.com/files/164609/Apache-HTTP-Server-2.4.50-Remote-Code-Execution.htmlExploitThird Party AdvisoryVDB Entry
- http://packetstormsecurity.com/files/164629/Apache-2.4.49-2.4.50-Traversal-Remote-Code-Execution.htmlExploitThird Party AdvisoryVDB Entry
- http://packetstormsecurity.com/files/164941/Apache-HTTP-Server-2.4.50-Remote-Code-Execution.htmlExploitThird Party AdvisoryVDB Entry
- http://packetstormsecurity.com/files/165089/Apache-HTTP-Server-2.4.50-CVE-2021-42013-Exploitation.htmlThird Party AdvisoryVDB Entry
- http://packetstormsecurity.com/files/167397/Apache-2.4.50-Remote-Code-Execution.htmlExploitThird Party AdvisoryVDB Entry
- http://www.openwall.com/lists/oss-security/2021/10/07/6Mailing ListThird Party Advisory
- http://www.openwall.com/lists/oss-security/2021/10/08/1Mailing ListThird Party Advisory
- http://www.openwall.com/lists/oss-security/2021/10/08/2Mailing ListThird Party Advisory
- http://www.openwall.com/lists/oss-security/2021/10/08/3Mailing ListThird Party Advisory
- http://www.openwall.com/lists/oss-security/2021/10/08/4Mailing ListThird Party Advisory
- http://www.openwall.com/lists/oss-security/2021/10/08/5Mailing ListThird Party Advisory
- http://www.openwall.com/lists/oss-security/2021/10/08/6Mailing ListThird Party Advisory
- http://www.openwall.com/lists/oss-security/2021/10/09/1Mailing ListThird Party Advisory
- + 46 autres références sur NVD
CVEs similaires
Autres vulnérabilités de type CWE-22
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.