CVE-2021-41773 - Apache HTTP Server path traversal and file disclosure vulnerability

Beschreibung:

Die Apache HTTP Server Version 2.4.49 ist von einer Sicherheitslücke betroffen, wodurch Angreifer auf Dateien außerhalb des Document-Root-Verzeichnisses des Webservers zugreifen können. Dies ist jedoch nur möglich, wenn die Sicherheitseinstellung für das Root Verzeichnis in der Apache Konfiguration nicht aktiviert ist. (Beim Directory für das Root Verzeichnis "/" sollte u.a. die Einstellung "Require all denied" gesetzt sein): Require all denied

Betroffene Systeme:

Apache HTTP Server Version 2.4.49

Behobene Versionen:

Apache HTTP Server Version 2.4.50

Empfohlene Maßnahmen:

Updaten des Apache HTTP Servers auf Version 2.4.50 Zusätzlich sollte die Sicherheitseinstellung in der Apache Konfiguration geprüft werden.

Einschätzung der Bedrohung:

Laut diversen Quellen wird die Sicherheitslücke bereits aktiv ausgenutzt.

Weiterführende Links:

https://nvd.nist.gov/vuln/detail/CVE-2021-41773  https://httpd.apache.org/security/vulnerabilities_24.html