CVE-2021-41773

КритическийОпубликовано

Уязвимость обхода пути и раскрытия файлов в Apache HTTP Server 2.4.49

Опубликовано: 5 окт. 2021 г.
Обновлено: 21 окт. 2025 г.
Назначение CNA: apache
Наблюдены доказательства: 6 окт. 2021 г.

Первичный CVSS

9,8/ 10Критический

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Оценка вероятности EPSS

100,0 %

Высокий · следующие 30 дней

Процентиль: 100,0 %
Дата модели: 19 окт. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

CISA Известно, что эксплуатация

Эта CVE присутствует в каталоге известных эксплуатируемых уязвимостей CISA.

Резюме

В недостатке, внесённом в нормализацию путей в Apache HTTP Server 2.4.49, была обнаружена уязвимость. Злоумышленник мог использовать атаку с обходом пути (path traversal), чтобы сопоставлять URL с файлами за пределами каталогов, заданных директивами типа Alias. Если файлы за пределами этих каталогов не защищены обычной конфигурацией по умолчанию «require all denied», такие запросы могут быть успешными. Если для этих псевдонимов (aliased paths) также включены CGI-скрипты, это может привести к удалённому выполнению кода. Известно, что эта проблема эксплуатируется в реальных условиях. Эта проблема затрагивает только Apache 2.4.49, но не более ранние версии. Исправление в Apache HTTP Server 2.4.50 оказалось неполным, см. CVE-2021-42013.

Источники

Данные репозиториев: Файлы: 4 · Репозитории: 3

2 Модуль1 Шаблон1 Лаборатория

Apache 2.4.49/2.4.50 Traversal RCE scannerМодуль
modules/auxiliary/scanner/http/apache_normalize_path.rb
Metasploit Framework modules
ОбнаружениеНаблюдены доказательства: 25 сент. 2026 г.Ревизия: 1e321cedaf4cСвязанный инструмент
Заявленные условия
- verification: check_not_declared($.auxiliary_scanner/http/apache_normalize_path.check)
Apache HTTP Server 2.4.49 Path TraversalЛаборатория
httpd/CVE-2021-41773
Path traversal and file disclosure vulnerability in Apache HTTP Server 2.4.49 (CVE-2021-41773)
Vulhub vulnerability labs
ИсследованияНаблюдены доказательства: 25 сент. 2026 г.Ревизия: 9b90d4276f84Связанный инструмент
Apache 2.4.49/2.4.50 Traversal RCEМодуль
modules/exploits/multi/http/apache_normalize_path_rce.rb
Metasploit Framework modules
ЭксплойтНаблюдены доказательства: 26 сент. 2026 г.Ревизия: 1e321cedaf4cСвязанный инструмент
Заявленные условия
- platform: Linux,Unix($.exploit_multi/http/apache_normalize_path_rce.platform)
- verification: check_declared($.exploit_multi/http/apache_normalize_path_rce.check)
Apache 2.4.49 - Path Traversal and Remote Code ExecutionШаблон
http/cves/2021/CVE-2021-41773.yaml
Nuclei Templates
ОбнаружениеНаблюдены доказательства: 26 сент. 2026 г.Ревизия: ee9e6969a9beСвязанный инструмент
Заявленные условия
- network: http($.protocol_keys)
- verification: regex,word($.matchers[*].type)

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.