CVE-2021-41773 / CVE-2021-42013 Apache Vulnerability Scanner

Ein umfassender, auf Python basierender Vulnerability Scanner zur Erkennung der CVE-2021-41773 und CVE-2021-42013 Path-Traversal- und Remote-Code-Execution-Schwachstellen in Apache HTTP Server Versionen 2.4.49 und 2.4.50.

Überblick

CVE-2021-41773 und CVE-2021-42013 sind kritische Sicherheitslücken im Apache HTTP Server, die Angreifern Folgendes ermöglichen:

• Beliebige Dateien vom Server lesen (Path Traversal)
• Beliebigen Code auf dem Server ausführen (Remote Code Execution)
• Sicherheitsbeschränkungen durch unsachgemäße URL-Normalisierung umgehen

Diese Schwachstellen erlangten im Oktober 2021 große Aufmerksamkeit und werden aktiv in der Praxis ausgenutzt.

Erläuterung der Schwachstellen

CVE-2021-41773 (Apache 2.4.49)

• Typ: Path Traversal + Remote Code Execution
• CVSS-Score: 9,8 Kritisch
• Betroffene Versionen: Apache HTTP Server 2.4.49
• Ursache: Unsachgemäße Pfadnormalisierung, die es ermöglicht, kodierte Punktzeichen (.%2e) zu verwenden, um Verzeichnisbeschränkungen zu umgehen
• Auswirkung: Lesen sensibler Dateien wie /etc/passwd, Ausführen beliebiger Befehle, wenn mod_cgi aktiviert ist

CVE-2021-42013 (Apache 2.4.50)

• Typ: Path Traversal + Remote Code Execution
• CVSS-Score: 9,8 Kritisch
• Betroffene Versionen: Apache HTTP Server 2.4.50
• Ursache: Unzureichender Fix für CVE-2021-41773, ermöglicht Umgehung durch doppelte URL-Kodierung (%%32%65)
• Auswirkung: Gleich wie CVE-2021-41773, betrifft die gepatchte Version

Funktionen

✅ Doppelte CVE-Erkennung: Testet sowohl CVE-2021-41773 als auch CVE-2021-42013 ✅ Path-Traversal-Tests: Mehrere Payload-Varianten für Dateizugriffsversuche ✅ RCE-Tests: Überprüfung der Remote-Code-Ausführung, wenn mod_cgi aktiviert ist ✅ Batch-Scanning: Mehrere Ziele aus einer Datei scannen ✅ Farbcodierte Ausgabe: Leicht lesbare formatierte Ergebnisse ✅ Anpassbares Timeout: Einstellbares Request-Timeout für unzuverlässige Netzwerke ✅ User-Agent-Spoofing: Umgeht grundlegende Filtermechanismen

Voraussetzungen

• Python 3.6+
• requests-Bibliothek
• colorama-Bibliothek

Installation

Repository klonen

https://github.com/drackyjr/CVE-2021-42013.git
cd cve-2021-41773-42013

Abhängigkeiten installieren

pip3 install -r requirements.txt

Oder manuell installieren:

pip3 install requests colorama

Verwendung

Einzelziel-Scan

python3 cve_scanner.py -u http://192.168.1.100

HTTPS-Ziel

python3 cve_scanner.py -u https://target.com

Benutzerdefiniertes Timeout

python3 cve_scanner.py -u http://target.com -t 15

Batch-Scanning

python3 cve_scanner.py -l targets.txt

Hilfe

python3 cve_scanner.py -h

Befehlszeilenargumente

Argument	Kurzform	Typ	Beschreibung
--url	-u	STRING	Ziel-URL (z.B. http://example.com)
--list	-l	DATEI	Datei mit einer Liste von Zielen (eines pro Zeile)
--timeout	-t	INTEGER	Request-Timeout in Sekunden (Standard: 10)

Beispielverwendung

Einzelziel

python3 cve_scanner.py -u http://192.168.1.100

Mehrere Ziele

Erstelle targets.txt:

http://192.168.1.100
https://example.com:8080
http://10.0.0.50
https://vulnerable.server.com

Danach ausführen:

python3 cve_scanner.py -l targets.txt -t 15

Erweitertes Timeout für langsame Netzwerke

python3 cve_scanner.py -u http://target.com -t 30

Ausgabe

Der Scanner liefert detaillierte Ausgaben, einschließlich:

• Erkennungsstatus der Schwachstelle: Ob jede CVE erkannt wurde
• Payload-Informationen: Welcher Payload die Schwachstelle ausgelöst hat
• Antwortdaten: Beispiel der Serverantwort
• Empfehlungen: Hinweise zum Patchen

Beispielausgabe:

============================================================
  CVE-2021-41773 / CVE-2021-42013 Vulnerability Scanner
============================================================

[*] Ziel: http://192.168.1.100

[*] Teste CVE-2021-41773 (Apache 2.4.49)...
[+] ANFÄLLIG FÜR CVE-2021-41773!
[+] Payload: /cgi-bin/.%2e/.%2e/.%2e/.%2e/etc/passwd
[+] Antwort:
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin

============================================================
  Scan-Zusammenfassung
============================================================
[!] Ziel ist ANFÄLLIG!
[!] Sofortiges Patchen erforderlich!
[*] Empfehlung: Upgrade auf Apache HTTP Server 2.4.51 oder höher
============================================================

Funktionsweise

Erkennung von CVE-2021-41773

1. Sendet Requests mit einfach URL-kodierten Payloads (.%2e)
2. Zielverzeichnisse: /cgi-bin/, /icons/, /images/
3. Versucht, /etc/passwd und /etc/shadow zu lesen
4. Testet Befehlsausführung über POST-Requests

Erkennung von CVE-2021-42013

1. Sendet Requests mit doppelt URL-kodierten Payloads (%%32%65)
2. Verwendet dieselben Zielverzeichnisse wie CVE-2021-41773
3. Umgeht den unzureichenden Patch in Apache 2.4.50
4. Überprüft die RCE-Fähigkeit, wenn mod_cgi aktiviert ist

RCE-Tests

• Führt den Befehl id aus, um die Codeausführung zu verifizieren
• Funktioniert nur, wenn das Modul mod_cgi aktiviert ist
• Sucht nach uid= und gid= in der Antwort

Erkennungsindikatoren

Der Scanner sucht nach:

• Erfolgreichem Path Traversal: Antwort enthält root: oder daemon:-Einträge aus /etc/passwd
• Erfolgreichem RCE: Antwort enthält uid= und gid= aus der Ausführung des id-Befehls
• HTTP-Statuscode: 200 OK mit erwartetem Inhalt

Abhilfemaßnahmen

Sofortmaßnahmen

1. Apache HTTP Server upgraden auf Version 2.4.51 oder höher
2. mod_cgi deaktivieren, falls nicht benötigt
3. Strenge Verzeichnisbeschränkungen anwenden:

   <Directory />
       Require all denied
   </Directory>
   

Konfigurationshärtung

# Zugriff auf sensible Verzeichnisse beschränken
<Directory /cgi-bin>
    Require all denied
</Directory>

# Symbolische Links deaktivieren, falls nicht benötigt
Options -FollowSymLinks

# Sicherheitsheader aktivieren
Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "DENY"

Versionsprüfung

# Apache-Version prüfen
apache2 -v
httpd -v

Unterstützte Apache-Versionen

Version	Status	Aktion
2.4.49	❌ Anfällig	Sofort upgraden
2.4.50	⚠️ Teilweise gepatcht	Upgrade auf 2.4.51+
2.4.51+	✅ Gepatcht	Keine Aktion erforderlich

Haftungsausschluss

⚠️ WICHTIG: Dieses Tool ist NUR für autorisierte Sicherheitstests und Bildungszwecke bestimmt. Unbefugter Zugriff auf Computersysteme ist ILLEGAL gemäß Gesetzen wie dem Computer Fraud and Abuse Act (CFAA) und ähnlichen Gesetzen weltweit.

Nur zur autorisierten Nutzung:

• Penetrationstests mit schriftlicher Genehmigung
• Sicherheitsaudits Ihrer eigenen Infrastruktur
• CTF-Wettbewerbe und Trainingsplattformen (TryHackMe, HackTheBox usw.)
• Bildungs- und Forschungszwecke

Missbrauchswarnung: Die Nutzer sind dafür verantwortlich, sicherzustellen, dass sie vor dem Testen eines Ziels eine ausdrückliche Autorisierung haben. Die Autoren übernehmen keine Haftung für unbefugte Nutzung.

Anwendungsfälle

Dieser Scanner ist ideal für:

Sicherheitsexperten

• Schwachstellenbewertung und -management
• Penetrationstest-Einsätze
• Sicherheitsaudits von Apache-Infrastrukturen
• Compliance-Überprüfung (PCI-DSS usw.)

Systemadministratoren

• Identifizierung anfälliger Apache-Instanzen
• Validierung der Patch-Bereitstellung
• Sicherheitsaudits der Infrastruktur
• Scannen des Serverbestands