Suivi KEV › Apache

CVE-2021-42013 Apache HTTP Server : vulnérabilité de traversée de répertoires

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 3 novembre 2021.

  • Produit : Apache HTTP Server
  • Ajoutée au catalogue : 3 novembre 2021
  • Échéance CISA : 17 novembre 2021
  • Rançongiciels : utilisée dans des campagnes connues
  • Faiblesse : CWE-22
  • Gravité : CVSS 9,8 (critique)
  • Probabilité d’exploitation (EPSS) : > 99,9 %
  • Technologie : Apache HTTP Server

Apache HTTP Server contient une vulnérabilité de traversée de répertoires qui permet à un attaquant d'exécuter du code à distance si les fichiers en dehors des répertoires configurés par des directives de type Alias ne sont pas soumis par défaut à 'require all denied' ou si les scripts CGI sont activés. Cet identifiant CVE résout un correctif incomplet pour CVE-2021-41773.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

  • Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • Exploitable à distance, par le réseau, sans compte, sans action de la victime.
  • Probabilité d’exploitation dans les 30 jours (EPSS) : > 99,9 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées
  • Code d’exploitation public : signalé par la NVD.

Versions concernées

  • jd edwards enterpriseone tools : versions < 9.2.6.0
  • secure backup : versions < 18.1.0.1.0
  • cloud backup : toutes versions
  • http server : 2 versions, de 2.4.49 à 2.4.50
  • fedora : 2 versions, de 34 à 35
  • instantis enterprisetrack : 3 versions, de 17.1 à 17.3

D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

  • Limitation inappropriée d'un chemin d'accès à un répertoire restreint (CWE-22) : Le produit utilise une entrée externe pour construire un chemin d'accès destiné à identifier un fichier ou un répertoire situé sous un répertoire parent restreint, mais le produit ne neutralise pas correctement les éléments spéciaux dans le chemin d'accès qui pourraient faire en sorte que celui-ci se résolve à un emplacement en dehors du répertoire restreint.

Chronologie

  1. — Publication de la CVE
  2. — Exploitation confirmée : ajout au catalogue KEV de la CISA
  3. — Échéance de correction pour les agences fédérales américaines

Références

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

Apache HTTP Server Path Traversal Vulnerability

Apache HTTP Server contains a path traversal vulnerability that allows an attacker to perform remote code execution if files outside directories configured by Alias-like directives are not under default require all denied or if CGI scripts are enabled. This CVE ID resolves an incomplete patch for CVE-2021-41773.

Required action: Apply updates per vendor instructions.

Autres failles exploitées de Apache HTTP Server

  • CVE-2024-38475 — Apache HTTP Server : validation incorrecte des entrées (1 mai 2025)
  • CVE-2021-41773 — Apache HTTP Server : vulnérabilité de traversée de répertoires (3 novembre 2021)
  • CVE-2019-0211 — Apache HTTP Server : élévation de privilèges (3 novembre 2021)

← Toutes les failles Apache · Suivi KEV