Apache HTTP Server のパストラバーサルの脆弱性（CVE-2021-42013）

何が起きた

Apache HTTP Server で、以前に見つかった弱点 CVE-2021-41773 の修正が不十分だったことが分かり、新しい番号として登録され、実際に悪用が確認されています。URL を細工して、本来は公開していない場所のファイルにたどり着ける弱点（パストラバーサル）で、その場所が通常の設定（require all denied）で守られていないと読み出されます。さらに CGI スクリプトが有効だと、攻撃者のプログラムを動かされるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache によると、影響を受けるのは Apache HTTP Server の 2.4.49 と 2.4.50 だけで、それより前の版は影響を受けません。CISA によると、ランサムウェアの攻撃にも使われたことが分かっています。

何をすればいい

Apache は、2021年10月7日に公開した 2.4.51 でこの弱点を直しています。Apache HTTP Server が 2.4.51 以降に更新されているか確認してください。あわせて、Apache の公式の案内を確認してください。

やることチェックリスト

• Apache HTTP Server の版を確かめる
• Apache HTTP Server を 2.4.51 以降に更新する
• 2.4.49 と 2.4.50 を使い続けないようにする

用語メモ

パストラバーサル

ファイルの場所の指定を細工して、本来は見られない場所のファイルにたどり着く攻撃です。

CGI スクリプト

Web サーバーが、アクセスに応じて動かすプログラムのことです。

ランサムウェア

データを暗号化して使えなくし、元に戻すことと引きかえにお金を求める不正なプログラムです。