Apache HTTP Server の脆弱性（CVE-2024-38475）

何が起きた

Apache HTTP Server の URL 書き換え機能 mod_rewrite に、出力のエスケープ（特別な意味を持つ文字の無害化）が正しくない弱点が見つかりました。攻撃者は URL を、サーバーが配信してよい場所ではあるものの、どの URL からも直接たどれるはずのないファイルの場所に結びつけられ、その結果、コードの実行やソースコードの漏えいにつながります。NVD の評価では、ネットワーク経由で、ログインなどの権限がなく、利用者の操作もなしに悪用できます。この弱点は実際の攻撃での悪用が確認され、CISA の KEV に載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache HTTP Server 2.4.59 以前を使っているサーバーの管理者が対象です。Apache の公式ページでは、影響は 2.4.0 から 2.4.59 までとされています。特に、サーバー全体の設定（server context）で、置き換え先の先頭部分に後方参照や変数を使っている RewriteRule が影響を受けます。

何をすればいい

Apache HTTP Server を 2.4.60 以降に更新されているか確認してください。この修正により、安全でない書き方の RewriteRule の一部が動かなくなることがあります。その場合は、置き換え先が適切に制限されていることを確かめたうえで、UnsafePrefixStat フラグで元の動きに戻せます。あわせて Apache の公式の案内を確認してください。

やることチェックリスト

• Apache HTTP Server を 2.4.60 以降に更新する
• サーバー全体の設定の RewriteRule を見直す
• UnsafePrefixStat は安全を確かめた時だけ使う

用語メモ

mod_rewrite

Apache HTTP Server で、受け取った URL を決まりに沿って別の URL やファイルの場所に書き換える機能です。

RewriteRule

mod_rewrite で使う設定の1行で、どんな URL をどう書き換えるかを決めるものです。

エスケープ

特別な意味を持つ文字を、ただの文字として扱われるように変換して無害にする処理です。