McAfee Enterprise 对 CVE-2021-41773 和 CVE-2021-42013 的覆盖 - Apache HTTP 服务器中路径遍历和远程代码执行2.4.49和2.4.50
技术文章 ID:
KB94967
上次修改时间: 2022/03/31
上次修改时间: 2022/03/31
免责声明
本文内容源于英文。如果英文内容与其翻译内容之间存在差异,应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。
McAfee Enterprise 对 CVE-2021-41773 和 CVE-2021-42013 的覆盖 - Apache HTTP 服务器中路径遍历和远程代码执行2.4.49和2.4.50
技术文章 ID:
KB94967
上次修改时间: 2022/03/31 环境
运行 Apache HTTP 服务器的系统2.4.50和更早
摘要
本文的最近更新
McAfee Enterprise 了解CVE-2021-41773和CVE-2021-42013,最近由 Apache 发布。 建议客户将易受攻击Apache HTTP升级至最低2.4.51. 根据用户对服务器漏洞Apache,此HTTP被视为关键漏洞。 由于此漏洞的严重性, McAfee Enterprise 已创建此文章,以便介绍客户为缓解其环境中的风险可以采取的操作。 订阅此文章以接收有关相关覆盖范围和对策的更新。 要在本文更新时收到电子邮件通知,请单击页面右侧的订购。 您必须登录后才能订购。
有关进一步的供应商信息,请参阅Apache服务器HTTP漏洞网站。 问题
Apache 2021 年 10 月 4 日发布的 CVE-2021-41773,这是解决 Apache HTTP Server 中漏洞的一部分2.4.50. 此漏洞仅影响Apache HTTP版本的服务器2.4.49. 但是,发现修复不足。 Apache 2021 年 10 月 7 日发布 CVE-2021-42013,仅影响 Apache HTTP Server 版本2.4.49和2.4.50. 使用 Apache HTTP 服务器2.4.49攻击者可以使用路径遍历攻击将 URL 映射到预期文档根目录之外的文件。 使用 Apache HTTP 服务器2.4.50攻击者可以使用路径遍历攻击将 URL 映射到使用类似别名指令所配置的目录之外的文件。 这两种情况都适用,仅适用于"要求全部拒绝"未保护文档根目录以外的文件。 这些缺陷会泄露解释文件(如 CGI 脚本)的来源。 解决方案
这些漏洞仅适用于Apache HTTP版本2.4.49和2.4.50. 您应将影响的系统升级到最新版本2.4.51立即。 McAfee Enterprise 产品是否受此漏洞的影响? McAfee Enterprise 正在审阅我们计划内的所有产品,以评估客户的潜在影响和风险。 该步骤是经过认真考虑的,以确保进一步的操作(如果需要)可以在其各自产品团队内适当确定优先级。 注意:ePolicy Orchestrator (ePO) 不受 CVE-2021-41773 或 CVE-2021-42013 的影响,因为它不会使用任一受影响的版本。 有关 ePO Apache版本的信息,请参阅:KB61057 - ePolicy Orchestrator Apache、Tomcat 和 Java 的版本. 当更多信息可用时,文章将相应地更新。 McAfee Enterprise 产品解决方案如何帮助您? 始终建议和最佳实践,以确保软件和操作系统在发布时与可用的更新和安全更新保持最新。 McAfee Enterprise 还建议评估并实施针对适合您环境的入门级威胁的常规对策;有关详细信息,请参阅:KB91836 - 条目媒介威胁对策. McAfee Enterprise 正在评估我们所有安全解决方案所覆盖的产品覆盖范围,以针对该漏洞进行识别、检测和预防。 我们将对本文进行相应的更新,以尽可能覆盖机会并识别对策。 相关信息免责声明本文内容源于英文。如果英文内容与其翻译内容之间存在差异,应始终以英文内容为准。本文部分内容是使用 Microsoft 的机器翻译技术进行翻译的。
|
|