Suivi KEV › Apache

CVE-2021-41773 Apache HTTP Server : vulnérabilité de traversée de répertoires

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 novembre 2021.

  • Produit : Apache HTTP Server
  • Ajoutée au catalogue : 3 novembre 2021
  • Échéance CISA : 17 novembre 2021
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-22
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %
  • Technologie : Apache HTTP Server

Apache HTTP Server contient une vulnérabilité de traversée de répertoires qui permet à un attaquant d'exécuter du code à distance si les fichiers en dehors des répertoires configurés par les directives de type Alias ne sont pas soumis par défaut à « require all denied » ou si les scripts CGI sont activés. Le correctif original publié sous cet identifiant CVE est insuffisant, veuillez consulter les informations de remédiation sous CVE-2021-42013.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • cloud backup : toutes versions
  • http server : version 2.4.49
  • fedora : 2 versions, de 34 à 35
  • instantis enterprisetrack : 3 versions, de 17.1 à 17.3

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Limitation inappropriée d'un chemin d'accès à un répertoire restreint (CWE-22) : Le produit utilise une entrée externe pour construire un chemin d'accès destiné à identifier un fichier ou un répertoire situé sous un répertoire parent restreint, mais le produit ne neutralise pas correctement les éléments spéciaux dans le chemin d'accès qui pourraient faire en sorte que celui-ci se résolve à un emplacement en dehors du répertoire restreint.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Apache HTTP Server Path Traversal Vulnerability

Apache HTTP Server contains a path traversal vulnerability that allows an attacker to perform remote code execution if files outside directories configured by Alias-like directives are not under default �require all denied� or if CGI scripts are enabled. The original patch issued under this CVE ID is insufficient, please review remediation information under CVE-2021-42013.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Apache HTTP Server

  • CVE-2024-38475 — Apache HTTP Server : validation incorrecte des entrées (1 mai 2025)
  • CVE-2021-42013 — Apache HTTP Server : vulnérabilité de traversée de répertoires (3 novembre 2021)
  • CVE-2019-0211 — Apache HTTP Server : élévation de privilèges (3 novembre 2021)

← Toutes les failles Apache · Suivi KEV