Apache HTTP Server Project es un proyecto de colaboración de código abierto utilizado para desarrollar y mantener servidores basados en HTTP. Es importante denotar que es la tecnología para servidores web más populares en Internet.
Las siguientes vulnerabilidades tienen severidad crítica:
- CVE-2021-42013: Se encontró que la corrección para CVE-2021-41773 en Apache HTTP Server 2.4.50 era insuficiente. Un atacante podría usar un ataque de recorrido de ruta para asignar URL a archivos fuera de los directorios configurados por directivas similares a Alias. Si los archivos fuera de estos directorios no están protegidos por la configuración predeterminada habitual «requieren todos denegados», estas solicitudes pueden tener éxito. Si los scripts CGI también están habilitados para estos parches con alias, esto podría permitir la ejecución remota de código. Este problema solo afecta a Apache 2.4.49 y Apache 2.4.50 y no a versiones anteriores.
- CVE-2021-40438: Puede ser aprovechada por los actores maliciosos para realizar ataques SSRF (Server-side request forgery). Es decir, el atacante puede abusar de la funcionalidad que tiene el servidor para actualizar o leer recursos internos que puede concluir con la lectura de la configuración del servidores, los metadatos de AWS y base de datos. Ademas, realizar solicitudes de publicación hacia servicios internos que no están destinados a ser expuestos. En conclusión, el actor malicioso puede acceder a información delicada de una red local o enviar requerimientos maliciosos a otros servidores.
Otra vulnerabilidad, bajo el ID CVE-2021-33193 y de severidad media, permitiría enviar un «crafted method» mediante HTTP/2 para evitar los controles de validación y que sea reenviado por el proxy mod, lo que provocaría un «request splitting» o un envenenamiento de cache.
Se recomienda realizar actualización de Apache a la última versión de 2.4.51.
Más información: