最近の脆弱性 › CVE-2021-41773
Apache HTTP Server のパストラバーサルの脆弱性（CVE-2021-41773）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2021-41773 |
|---|---|
| 製品 | Apache HTTP Server |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2021-11-03 |
| 米国政府機関の対応期限 | 2021-11-17 |
| ランサムウェアでの悪用 | 悪用が確認されている |
| 弱点の種類（CWE） | CWE-22 |
何が起きた
Apache HTTP Server で、URL の中のファイルの場所を整える処理の変更に不具合があり、本来は公開していない場所のファイルにたどり着ける弱点（パストラバーサル）が見つかり、実際に悪用が確認されています。その場所が通常の設定（require all denied）で守られていないと読み出され、さらに CGI スクリプトが有効だと、攻撃者のプログラムを動かされるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。CISA によると、ランサムウェアの攻撃にも使われたことが分かっています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Apache によると、影響を受けるのは Apache HTTP Server の 2.4.49 だけで、それより前の版は影響を受けません。
何をすればいい
Apache は 2.4.50 で修正しましたが、その修正は不十分で、残った問題は CVE-2021-42013 として 2.4.51 で直されています。Apache HTTP Server が 2.4.51 以降に更新されているか確認してください。あわせて、Apache の公式の案内を確認してください。
やることチェックリスト
- Apache HTTP Server の版を確かめる
- Apache HTTP Server を 2.4.51 以降に更新する
- 2.4.50 で止めずに 2.4.51 以降まで更新する
用語メモ
- パストラバーサル
- ファイルの場所の指定を細工して、本来は見られない場所のファイルにたどり着く攻撃です。
- CGI スクリプト
- Web サーバーが、アクセスに応じて動かすプログラムのことです。
- ランサムウェア
- データを暗号化して使えなくし、元に戻すことと引きかえにお金を求める不正なプログラムです。
元データ（英語・CISA KEV より）
Apache HTTP Server Path Traversal Vulnerability
概要
Apache HTTP Server contains a path traversal vulnerability that allows an attacker to perform remote code execution if files outside directories configured by Alias-like directives are not under default �require all denied� or if CGI scripts are enabled. The original patch issued under this CVE ID is insufficient, please review remediation information under CVE-2021-42013.
推奨対応
Apply updates per vendor instructions.