Apache 发布多个高危漏洞利用警告，建议用户立即修补Web 服务器！

Apache已发布补丁以解决多个高危安全漏洞，包括其HTTP服务器中的路径遍历和文件泄露漏洞（CVE-2021-41773），据称该漏洞正在被广泛利用。Apache官方发布2.4.50修补之后的次日，安全研究人员发现对CVE-2021-41773漏洞的修复并不完善，Apache已确认该问题，并再次发布2.4.51版本。

• Apache HTTP Server 2.4.49 中的路径遍历和文件泄露漏洞（CVE-2021-41773）

在 Apache HTTP Server 2.4.49 中对路径规范化所做的更改中发现了一个缺陷。攻击者可以使用路径遍历攻击将 URL 映射到预期文档根目录之外的文件。

如果文档根目录之外的文件不受“要求全部拒绝”的保护，则这些请求可能会成功。此外，此缺陷可能会泄漏 CGI 脚本等解释文件的来源。已知该漏洞已被广泛利用，此问题仅影响 Apache 2.4.49及随后发布的不完善修复版本2.4.50。

• Apache HTTP Server 2.4.49和2.4.50中的路径遍历和远程代码执行（CVE-2021-41773 的不完整修复） ( CVE-2021-42013 )

Apache HTTP Server 2.4.50 中对 CVE-2021-41773 的修复不够充分。攻击者可以使用路径遍历攻击将 URL 映射到由类似别名的指令配置的目录之外的文件。如果这些目录之外的文件不受通常的默认配置“要求全部拒绝”的保护，则这些请求可能会成功。如果还为这些别名路径启用了 CGI 脚本，则可以允许远程代码执行。

此问题仅影响 Apache 2.4.49 和 Apache 2.4.50，而不影响更早版本。

• 处理 HTTP/2 请求期间空指针取消引用漏洞 ( CVE-2021-41524 )

在对 2.4.49 httpd 进行模糊测试时，在 HTTP/2 请求处理期间检测到新的空指针取消引用，允许外部源对服务器进行 DoS，这需要特制的请求。

该漏洞最近在 2.4.49 版中引入。该项目没有已知的漏洞利用。

安全专家强烈建议所有Apache用户尽快升级到2.4.51版本以修补漏洞，避免服务器被黑客入侵。