• ひとことでApache HTTP Server 2.4 系の一部の版で、公開していないファイルを読まれる弱点
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることApache HTTP Server の版を確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2021-41773
製品Apache HTTP Server
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2021-11-17
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-22（パストラバーサル）

何が起きた

Apache HTTP Server で、URL の中のファイルの場所を整える処理の変更に不具合があり、本来は公開していない場所のファイルにたどり着ける弱点（パストラバーサル）が見つかり、実際に悪用が確認されています。その場所が通常の設定（require all denied）で守られていないと読み出され、さらに CGI スクリプトが有効だと、攻撃者のプログラムを動かされるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。CISA によると、ランサムウェアの攻撃にも使われたことが分かっています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した URL を送る → 2. 公開していない場所のファイルにたどり着く → 3. 守られていないファイルが読み出される → 4. CGI が有効ならプログラムが動く1攻撃者が細工した URL を送る2公開していない場所のファイルにたどり着く3守られていないファイルが読み出される4CGI が有効ならプログラムが動く攻撃の流れ: 1. 攻撃者が細工した URL を送る → 2. 公開していない場所のファイルにたどり着く → 3. 守られていないファイルが読み出される → 4. CGI が有効ならプログラムが動く1攻撃者が細工した URL を送る2公開していない場所のファイルにたどり着く3守られていないファイルが読み出される4CGI が有効ならプログラムが動く攻撃の流れ: 1. 攻撃者が細工した URL を送る → 2. 公開していない場所のファイルにたどり着く → 3. 守られていないファイルが読み出される → 4. CGI が有効ならプログラムが動く1攻撃者が細工した URL を送る2公開していない場所のファイルにたどり着く3守られていないファイルが読み出される4CGI が有効ならプログラムが動く

誰が影響を受ける

Apache によると、影響を受けるのは Apache HTTP Server の 2.4.49 だけで、それより前の版は影響を受けません。

何をすればいい

Apache は 2.4.50 で修正しましたが、その修正は不十分で、残った問題は CVE-2021-42013 として 2.4.51 で直されています。Apache HTTP Server が 2.4.51 以降に更新されているか確認してください。あわせて、Apache の公式の案内を確認してください。

やることチェックリスト

  • Apache HTTP Server の版を確かめる
  • Apache HTTP Server を 2.4.51 以降に更新する
  • 2.4.50 で止めずに 2.4.51 以降まで更新する

用語メモ

パストラバーサル 用語集で見る
ファイルの場所の指定を細工して、本来は見られない場所のファイルにたどり着く攻撃です。
CGI スクリプト
Web サーバーが、アクセスに応じて動かすプログラムのことです。
ランサムウェア 用語集で見る
データを暗号化して使えなくし、元に戻すことと引きかえにお金を求める不正なプログラムです。

次に読む

同じ製品・メーカーの脆弱性Apache HTTP Server（CVE-2024-38475）9.1 緊急CVSS v3.1Apache HTTP Server の mod_rewrite で、見せないはずのファイルに届いてしまう弱点です。同じ製品・メーカーの脆弱性Apache HTTP Server（CVE-2021-42013）9.8 緊急CVSS v3.1Apache HTTP Server で、前の修正が不十分だったファイルの読み出しの弱点基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apache HTTP Server Path Traversal Vulnerability

概要

Apache HTTP Server contains a path traversal vulnerability that allows an attacker to perform remote code execution if files outside directories configured by Alias-like directives are not under default �require all denied� or if CGI scripts are enabled. The original patch issued under this CVE ID is insufficient, please review remediation information under CVE-2021-42013.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る