La Fondation Apache Software a publié la version 2.4.50 du serveur Web HTTP pour corriger deux vulnérabilités, dont l’une est une faille de traversée de chemin et de divulgation de fichiers activement exploitée.
Le serveur HTTP Apache est un serveur web multiplateforme à code source ouvert, extrêmement populaire pour sa polyvalence, sa robustesse et sa gratuité.
La vulnérabilité zero-day activement exploitée est répertoriée sous le nom de CVE-2021-41773 et permet aux acteurs de faire correspondre des URL à des fichiers situés en dehors de la racine du document attendu en lançant une attaque par traversée de chemin.
Pour que l’attaque fonctionne, la cible doit exécuter le serveur HTTP Apache 2.4.49, et le paramètre de contrôle d’accès « Require all denied » doit être désactivé.
Depuis la divulgation de la vulnérabilité, les chercheurs en sécurité ont été en mesure de la reproduire et ont averti les administrateurs qu’ils devaient appliquer un correctif immédiatement.
Nous avons reproduit la nouvelle vulnérabilité CVE-2021-41773 Path Traversal dans Apache 2.4.49.
