CVE-2021-42013

КритическийОпубликовано

Обход пути и удаленное выполнение кода в Apache HTTP Server 2.4.49 и 2.4.50 (неполное исправление CVE-2021-41773)

Опубликовано: 7 окт. 2021 г.
Обновлено: 21 окт. 2025 г.
Назначение CNA: apache
Наблюдены доказательства: 13 окт. 2021 г.

Первичный CVSS

9,8/ 10Критический

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Оценка вероятности EPSS

100,0 %

Высокий · следующие 30 дней

Процентиль: 100,0 %
Дата модели: 18 окт. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

CISA Известно, что эксплуатация

Эта CVE присутствует в каталоге известных эксплуатируемых уязвимостей CISA.

Резюме

It was found that the fix for CVE-2021-41773 in Apache HTTP Server 2.4.50 was insufficient. An attacker could use a path traversal attack to map URLs to files outside the directories configured by Alias-like directives. If files outside of these directories are not protected by the usual default configuration "require all denied", these requests can succeed. If CGI scripts are also enabled for these aliased pathes, this could allow for remote code execution. This issue only affects Apache 2.4.49 and Apache 2.4.50 and not earlier versions.

Источники

Данные репозиториев: Файлы: 4 · Репозитории: 3

2 Модуль1 Шаблон1 Лаборатория

Apache 2.4.49/2.4.50 Traversal RCE scannerМодуль
modules/auxiliary/scanner/http/apache_normalize_path.rb
Metasploit Framework modules
ОбнаружениеНаблюдены доказательства: 25 сент. 2026 г.Ревизия: 1e321cedaf4cСвязанный инструмент
Заявленные условия
- verification: check_not_declared($.auxiliary_scanner/http/apache_normalize_path.check)
Apache HTTP Server 2.4.50 Path TraversalЛаборатория
httpd/CVE-2021-42013
Path traversal and file disclosure vulnerability in Apache HTTP Server 2.4.50 (CVE-2021-42013)
Vulhub vulnerability labs
ИсследованияНаблюдены доказательства: 25 сент. 2026 г.Ревизия: 9b90d4276f84Связанный инструмент
Apache 2.4.49/2.4.50 Traversal RCEМодуль
modules/exploits/multi/http/apache_normalize_path_rce.rb
Metasploit Framework modules
ЭксплойтНаблюдены доказательства: 26 сент. 2026 г.Ревизия: 1e321cedaf4cСвязанный инструмент
Заявленные условия
- platform: Linux,Unix($.exploit_multi/http/apache_normalize_path_rce.platform)
- verification: check_declared($.exploit_multi/http/apache_normalize_path_rce.check)
Apache 2.4.49/2.4.50 - Path Traversal and Remote Code ExecutionШаблон
http/cves/2021/CVE-2021-42013.yaml
Nuclei Templates
ОбнаружениеНаблюдены доказательства: 26 сент. 2026 г.Ревизия: 008731b339bdСвязанный инструмент
Заявленные условия
- network: http($.protocol_keys)
- verification: regex,word($.matchers[*].type)

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.