• ひとことでApache HTTP Server で、前の修正が不十分だったファイルの読み出しの弱点
  • 深刻度9.8 緊急CVSS v3.1
  • まずやることApache HTTP Server の版を確かめる

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2021-42013
製品Apache HTTP Server
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2021-11-03
米国政府機関の対応期限2021-11-17
ランサムウェアでの悪用悪用が確認されている
弱点の種類（CWE）CWE-22（パストラバーサル）

何が起きた

Apache HTTP Server で、以前に見つかった弱点 CVE-2021-41773 の修正が不十分だったことが分かり、新しい番号として登録され、実際に悪用が確認されています。URL を細工して、本来は公開していない場所のファイルにたどり着ける弱点（パストラバーサル）で、その場所が通常の設定（require all denied）で守られていないと読み出されます。さらに CGI スクリプトが有効だと、攻撃者のプログラムを動かされるおそれがあります。NVD の評価では、攻撃者はネットワーク経由で、ログインも利用者の操作もなしに悪用できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した URL を送る → 2. 公開していない場所のファイルにたどり着く → 3. 守られていないファイルが読み出される → 4. CGI が有効ならプログラムが動く1攻撃者が細工した URL を送る2公開していない場所のファイルにたどり着く3守られていないファイルが読み出される4CGI が有効ならプログラムが動く攻撃の流れ: 1. 攻撃者が細工した URL を送る → 2. 公開していない場所のファイルにたどり着く → 3. 守られていないファイルが読み出される → 4. CGI が有効ならプログラムが動く1攻撃者が細工した URL を送る2公開していない場所のファイルにたどり着く3守られていないファイルが読み出される4CGI が有効ならプログラムが動く攻撃の流れ: 1. 攻撃者が細工した URL を送る → 2. 公開していない場所のファイルにたどり着く → 3. 守られていないファイルが読み出される → 4. CGI が有効ならプログラムが動く1攻撃者が細工した URL を送る2公開していない場所のファイルにたどり着く3守られていないファイルが読み出される4CGI が有効ならプログラムが動く

誰が影響を受ける

Apache によると、影響を受けるのは Apache HTTP Server の 2.4.49 と 2.4.50 だけで、それより前の版は影響を受けません。CISA によると、ランサムウェアの攻撃にも使われたことが分かっています。

何をすればいい

Apache は、2021年10月7日に公開した 2.4.51 でこの弱点を直しています。Apache HTTP Server が 2.4.51 以降に更新されているか確認してください。あわせて、Apache の公式の案内を確認してください。

やることチェックリスト

  • Apache HTTP Server の版を確かめる
  • Apache HTTP Server を 2.4.51 以降に更新する
  • 2.4.49 と 2.4.50 を使い続けないようにする

用語メモ

パストラバーサル 用語集で見る
ファイルの場所の指定を細工して、本来は見られない場所のファイルにたどり着く攻撃です。
CGI スクリプト
Web サーバーが、アクセスに応じて動かすプログラムのことです。
ランサムウェア 用語集で見る
データを暗号化して使えなくし、元に戻すことと引きかえにお金を求める不正なプログラムです。

次に読む

同じ製品・メーカーの脆弱性Apache HTTP Server（CVE-2024-38475）9.1 緊急CVSS v3.1Apache HTTP Server の mod_rewrite で、見せないはずのファイルに届いてしまう弱点です。同じ製品・メーカーの脆弱性Apache HTTP Server（CVE-2021-41773）9.8 緊急CVSS v3.1Apache HTTP Server 2.4 系の一部の版で、公開していないファイルを読まれる弱点基本の解説ランサムウェアとはデータを暗号化して身代金を求める不正プログラムと対策

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Apache HTTP Server Path Traversal Vulnerability

概要

Apache HTTP Server contains a path traversal vulnerability that allows an attacker to perform remote code execution if files outside directories configured by Alias-like directives are not under default require all denied or if CGI scripts are enabled. This CVE ID resolves an incomplete patch for CVE-2021-41773.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る