Apache 2021路径穿越事件复盘：代理规范化为什么要与源站一致

网站前面有WAF，源站就可以忽略路径处理漏洞吗？2021年Apache HTTP Server的路径穿越事件说明，入口规则与服务器目录授权必须分别成立。边缘看到的请求路径，经过后续解码、改写和文件映射后，可能已经具有不同的处理含义。

先把历史事实与当前建议分开

Apache官方漏洞页面记录，CVE-2021-41773涉及2.4.49的路径规范化变更；后续CVE-2021-42013覆盖2.4.49与2.4.50，指出首次修复不足。目录授权和相关CGI配置影响具体后果，不能把所有Apache网站一概判断为可远程执行代码。

这些是2021年的历史范围。当前维护应依据发行版或原厂最新支持版本及安全更新，不能把当年的修复版本直接当作今天的推荐版本。本文不提供穿越字符串或利用步骤，也未对任何网站进行攻击验证。

用三层映射理解风险

这张表用于配置审核，不是漏洞利用流程。应让维护人员说明正常请求在各层如何解释，再使用受控的无害样本核对结果。

目录授权要独立检查

对需要公开访问的目录建立明确清单，核对未公开目录是否受到有效限制。CGI等执行能力只应在业务确实需要的位置启用，并检查历史配置、示例目录和不再使用的虚拟主机是否遗留。

不要为了消除一个访问错误，把更大范围目录改成允许访问。应保留原配置，确认业务真正需要的目录及身份条件，再做最小范围调整。配置审核要覆盖所有运行实例，不能只看一台代表机器。

边缘规则与补丁怎样配合

临时拦截规则应记录来源、适用路径和误报情况，并检查是否存在未经过边缘的入口。源站更新后仍要验证真实运行版本、目录授权及正常业务，不应因为拦截量下降就认为漏洞任务已经结束。

如果平台没有公开路径处理细节，应向服务商确认支持的验证方式。不要自己构造大量异常请求向生产环境测试覆盖率；可以先在隔离环境复查配置，再安排双方认可的验证。

把复盘变成发布前检查

每次修改URL重写、目录别名或静态文件服务时，保留正常资源、明确禁止资源和不存在资源三组用例。确认合法资源仍可访问，禁止目标仍被拒绝，错误页面不会以成功状态被缓存。

这类检查可以并入边缘配置灰度验收，与补丁部署记录一起交接。安全加速SCDN提供的是接入范围内的处理能力，源站目录权限和组件维护仍应由部署方持续核对。

资料核对日期：2026年10月30日。本文由AI辅助整理，技术事实依据文内原始资料核对。示例与操作清单供实施参考；产品配置和软件维护状态以实施时的官方资料为准。