Vulnérabilité dans le serveur Apache (CVE-2021-44224)

Date de publication :

CVE-2021-44224[Score CVSS v3.1: 8.2]

Cette vulnérabilité consiste en une vérification insuffisante des paramètres transmis par l'utilisateur dans les configurations du serveur (relais inversé).

L'exploitation de cette vulnérabilité peut provoquer un déni de service, permettre à un attaquant d'accéder à des données sensibles ou d'utiliser le serveur Apache (relais inversé) vulnérable pour relayer des requêtes malveillantes à d'autres serveurs.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Déni de service

Criticité

  • Score CVSS v3.1: 8.2

La faille est activement exploitée

  • Non

Un correctif existe

  • Oui

Une mesure de contournement existe

  • Non

Les vulnérabilités exploitées sont du type

  • CWE-476 : NULL Pointer Dereference
  • CWE-918 : Server-Side Request Forgery (SSRF)

Détails sur l’exploitation

  • Vecteur d’attaque : Réseau
  • Complexité de l’attaque : Faible
  • Privilèges nécessaires pour réaliser l’attaque : Non
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non

Composants vulnérables.

Paramètres démons 

  • Reverse-proxy
  • Forward-Proxy

Les versions suivantes du serveur Apache :

  • 2.4.7
  • 2.4.8
  • 2.4.9
  • 2.4.10
  • 2.4.12
  • 2.4.18
  • 2.4.20
  • 2.4.17
  • 2.4.23
  • 2.4.29
  • 2.4.33
  • 2.4.30
  • 2.4.25
  • 2.4.26
  • 2.4.27
  • 2.4.28
  • 2.4.34
  • 2.4.35
  • 2.4.36
  • 2.4.37
  • 2.4.38
  • 2.4.38
  • 2.4.39
  • 2.4.16
  • 2.4.41
  • 2.4.43
  • 2.4.46
  • 2.4.48
  • 2.4.49
  • 2.4.50
  • 2.4.51

Solutions ou recommandations

  • Appliquer la mise à jour vers la version 2.4.52 du serveur Apache, ou une autre version plus récente.

Liens