Vulnérabilité dans le serveur Apache (CVE-2021-44224)

Date de publication :

CVE-2021-44224[Score CVSS v3.1: 8.2]

Cette vulnérabilité consiste en une vérification insuffisante des paramètres transmis par l'utilisateur dans les configurations du serveur (relais inversé).

L'exploitation de cette vulnérabilité peut provoquer un déni de service, permettre à un attaquant d'accéder à des données sensibles ou d'utiliser le serveur Apache (relais inversé) vulnérable pour relayer des requêtes malveillantes à d'autres serveurs.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Déni de service

Criticité

    Score CVSS v3.1: 8.2

La faille est activement exploitée

    Non

Un correctif existe

    Oui

Une mesure de contournement existe

    Non

Les vulnérabilités exploitées sont du type

    CWE-476 : NULL Pointer Dereference

    CWE-918 : Server-Side Request Forgery (SSRF)

Détails sur l’exploitation

    Vecteur d’attaque : Réseau

    Complexité de l’attaque : Faible

    Privilèges nécessaires pour réaliser l’attaque : Non

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non

Composants vulnérables.

Paramètres démons 

    Reverse-proxy
    Forward-Proxy

Les versions suivantes du serveur Apache :

    2.4.7
    2.4.8
    2.4.9
    2.4.10
    2.4.12
    2.4.18
    2.4.20
    2.4.17
    2.4.23
    2.4.29
    2.4.33
    2.4.30
    2.4.25
    2.4.26
    2.4.27
    2.4.28
    2.4.34
    2.4.35
    2.4.36
    2.4.37
    2.4.38
    2.4.38
    2.4.39
    2.4.16
    2.4.41
    2.4.43
    2.4.46
    2.4.48
    2.4.49
    2.4.50
    2.4.51

Solutions ou recommandations

  • Appliquer la mise à jour vers la version 2.4.52 du serveur Apache, ou une autre version plus récente.

Liens