-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512

   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

######################## UPDATE 1.03 #############################

Titel           : Kwetsbaarheden verholpen in Apache web server
Advisory ID     : NCSC-2021-0861
Versie          : 1.03
Kans            : high
CVE ID          : CVE-2021-41524, CVE-2021-41773, CVE-2021-42013
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: http://cve.mitre.org/cve/)
Schade          : high
                  Denial-of-Service (DoS)
                  (Remote) code execution (Gebruikersrechten)
                  Toegang tot gevoelige gegevens
Uitgiftedatum   : 20211008
Toepassing      : Apache HTTP Server
Versie(s)       : = 2.4.49
                  = 2.4.50
Platform(s)     :

Update
   Apache Software Foundation heeft aangegeven dat de patch voor versie
   2.4.50 onvolledig is. Aan deze regressie is CVE-kenmerk
   CVE-2021-42013 toegekend. Net als de kwetsbaarheid met kenmerk
   CVE-2021-41773 wordt CVE-2021-42013 actief misbruikt.

   Apache HTTP Server 2.4.51 is beschikbaar gesteld om de kwetsbaarheid
   volledig te verhelpen. Organisaties worden opgeroepen om te updaten
   naar versie 2.4.51. Zie "Mogelijke oplossingen" voor meer informatie
   en een blogpost met indicators-of-compromise. De inschaling van dit
   beveiligingsadvies blijft onverminderd HIGH/HIGH.

Beschrijving
   Apache Software Foundation heeft twee kwetsbaarheden verholpen in
   Apache HTTP Server. Een ongeauthenticeerde kwaadwillende op afstand
   kan de kwetsbaarheden mogelijk misbruiken voor het veroorzaken van
   een Denial-of-Service, het verkrijgen van toegang tot gevoelige
   gegevens of het uitvoeren van willekeurige code.

   De kwetsbaarheid met kenmerk CVE-2021-41524 kan mogelijk worden
   misbruikt voor het veroorzaken van een Denial-of-Service. Dit kan
   worden bewerkstelligd door het versturen van een speciaal
   geprepareerd verzoek en resulteert in het crashen van het
   httpd-proces dat het verzoek afhandelt. Doordat dergelijke processen
   automatisch herstarten is een totale Denial-of-Service waarbij de
   gehele webserver stopt onwaarschijnlijk.

   De kwetsbaarheden met kenmerk CVE-2021-41773 en CVE-2021-42013 zijn
   nieuw ge´ntroduceerde fouten in Apache HTTP Server 2.4.49 en 2.4.50.
   De kwetsbaarheden stellen een ongeauthenticeerde kwaadwillende in
   staat om middels een path-traversal toegang te krijgen tot gevoelige
   gegevens buiten de scope van de Apache web server of willekeurige
   code uit te voeren. Normaal gesproken heeft het webproces geen
   toegang tot bestanden buiten de eigen omgeving. Echter, wanneer
   "require all denied" niet in de configuratie voorkomt om toegang tot
   bestanden buiten de omgeving van Apache te voorkomen, kan een
   kwaadwillende door misbruik van de kwetsbaarheid toch dergelijke
   bestanden benaderen of willekeurige code uitvoeren met rechten van
   de webserver. Uitvoer van code is daarbij alleen mogelijk wanneer
   mod-cgi is ingeschakeld.

   De kwetsbaarheden met kenmerk CVE-2021-41773 en CVE-2021-42013
   worden actief misbruikt. Organisaties worden opgeroepen om Apache
   HTTP Server bij te werken naar versie 2.4.51. Voor zover bekend
   komen deze twee specifieke kwetsbaarheden niet voor in versie 2.4.48
   en ouder.

Mogelijke oplossingen
   Apache Foundation heeft updates uitgebracht om de kwetsbaarheden te
   verhelpen in Apache web server 2.4.51. Voor meer informatie, zie:

   http://httpd.apache.org/security/vulnerabilities_24.html

   Nog niet alle uitgevers van Linuxdistributies hebben
   beveiligingsupdates beschikbaar gesteld die de kwetsbaarheden
   verhelpen. Om de kwetsbaarheden met kenmerk CVE-2021-41773 en
   CVE-2021-42013 te mitigeren dienen bestanden buiten de zogenaamde
   document root te worden beschermd via de "require all
   denied"-instelling. Het gebruik van deze instelling voorkomt dat de
   path traversal-kwetsbaarheden kunnen worden misbruikt voor het
   uitlezen van bestanden buiten de document root of het uitvoeren van
   willekeurige code.

   Cisco Talos heeft een blogpost gepubliceerd met mogelijke
   indicators-of-compromise. Voor meer informatie, zie:

   https://blog.talosintelligence.com/2021/10
      /apache-vuln-threat-advisory.html

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.

-----BEGIN PGP SIGNATURE-----
Version: Encryption Desktop 10.4.2 (Build 1298)
Charset: utf-8
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=/ulv
-----END PGP SIGNATURE-----