S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 06 octobre 2021
N° CERTFR-2021-ACT-043
Affaire suivie par: CERT-FR
le 06 octobre 2021

Bulletin d'actualité du CERT-FR

Objet: [MàJ] Bulletin d’actualité CERTFR-2021-ACT-043

Gestion du document

Référence CERTFR-2021-ACT-043
Titre [MàJ] Bulletin d’actualité CERTFR-2021-ACT-043
Date de la première version 06 octobre 2021
Date de la dernière version 08 octobre 2021
Source(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

CVE-2021-41773 : Vulnérabilité activement exploitée dans Apache HTTP Server.

Le lundi 04 octobre 2021, Apache a publié un correctif pour son serveur HTTP corrigeant deux vulnérabilités qui affectent spécifiquement la version 2.4.49, sortie en juin 2021.

La plus critique de ces vulnérabilités, la CVE-2021-41773, permet de lire des fichiers arbitraires par une attaque de type traversée de chemin (path traversal).

Le CERT-FR constate que la version vulnérable n’a pas encore été proposée par la plupart des distributions Linux. Sont donc principalement concernés les utilisateurs qui construisent leur serveur Apache à partir des sources.

En fonction de la configuration du service, l’attaquant pourrait accéder à l’ensemble du système de fichier. Pour s’en prémunir, les fichiers situés en dehors de la racine des documents (DocumentRoot) peuvent être protégés par une directive « require all denied« . Dans ce cas, l’attaquant pourra tout de même avoir accès aux secrets ou encore aux codes source de l’application.

Apache indique que cette vulnérabilité est déjà activement exploitée. Le CERT-FR constate également que de nombreux codes d’exploitation sont publiquement disponibles sur Internet.

Le CERT-FR recommande donc l’application du correctif dans les plus brefs délais.

[Mise à jour du 08 octobre 2021]

Le 07 octobre 2021, Apache a publié la version 2.4.51 car le correctif proposé dans la version 2.4.50 n’est pas suffisant pour empêcher toutes les attaques de type traversée de chemin (path traversal). En effet, selon la configuration de directives Alias, les fichiers de certains répertoires peuvent encore être lus. De plus, si les scripts CGI sont activés, l’attaquant peut obtenir une exécution de code arbitraire à distance.

Cette précision sur l’étendue de la vulnérabilité est identifiée par la CVE-2021-42013.

Le CERT-FR anticipe une accélération des tentatives d’exploitation. Si vous êtes concernés par cette vulnérabilité, il est urgent de mettre à jour ou de modifier votre configuration.

 

Documentation

Rappel des avis émis

Dans la période du 27 septembre au 03 octobre 2021, le CERT-FR a émis les publications suivantes :


Gestion détaillée du document

    le 06 octobre 2021
    Version initiale
    le 08 octobre 2021
    Ajout de la CVE-2021-42013.