CVEノート

最近の脆弱性 › CVE-2021-40438

Apache Apache のSSRFの脆弱性（CVE-2021-40438）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2021-40438
製品Apache Apache
深刻度（CVSS）9.0 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
KEVへの追加日2021-12-01
米国政府機関の対応期限2021-12-15
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-918

何が起きた

Apache HTTP Server の mod_proxy（通信を別のサーバーへ中継する機能）で、細工したリクエストを送ると、攻撃者が選んだサーバーへ通信を中継させられる弱点が見つかりました。これは SSRF と呼ばれる種類の弱点です。CISA によると、実際に悪用が確認されており、ランサムウェアの攻撃での悪用も知られています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工したリクエストを送る → 2. mod_proxy が中継先を誤って決める → 3. 攻撃者が選んだサーバーへ通信が送られる1攻撃者が細工したリクエストを送る2mod_proxy が中継先を誤って決める3攻撃者が選んだサーバーへ通信が送られる攻撃の流れ: 1. 攻撃者が細工したリクエストを送る → 2. mod_proxy が中継先を誤って決める → 3. 攻撃者が選んだサーバーへ通信が送られる1攻撃者が細工したリクエストを送る2mod_proxy が中継先を誤って決める3攻撃者が選んだサーバーへ通信が送られる

誰が影響を受ける

Apache HTTP Server 2.4.48 以前を使っていて、mod_proxy を使っている人・組織が影響を受けます。

何をすればいい

Apache の公式のセキュリティ情報によると、この弱点は 2.4.49 で修正されています。ただし同じ情報によると、2.4.49 と 2.4.50 には別の重大な弱点（CVE-2021-41773、CVE-2021-42013）があり、2.4.51 で修正されています。Apache HTTP Server を最新の版に更新されているか確認してください。Linux の配布元が出している Apache の更新を使っている場合は、その公式の案内も確認してください。

やることチェックリスト

用語メモ

mod_proxy
Apache HTTP Server で、受け取った通信を別のサーバーへ中継するための機能です。
SSRF
サーバーをだまして、攻撃者が選んだ別の場所へ通信させる攻撃です。
ランサムウェア
データを暗号化して使えなくし、元に戻すことと引き換えに金銭を要求する不正なプログラムです。

元データ（英語・CISA KEV より）

Apache HTTP Server-Side Request Forgery (SSRF)

概要

A crafted request uri-path can cause mod_proxy to forward the request to an origin server choosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.

推奨対応

Apply updates per vendor instructions.

公式情報