Apache HTTP Server の緊急アップデート：ただちにパッチ適用を！

Multiple Vulnerabilities in Apache HTTP Server Demand Immediate Action

2024/07/01 SecurityOnline — Apache Software Foundation が公開した緊急のセキュリティ・アドバイザリにより、人気の Apache HTTP Server に複数の脆弱性が存在することが判明した。これらの脆弱性が悪用されると、サービス拒否 (DoS：denial-of-service) 攻撃／リモート・コード実行／不正アクセスなどが生じ、何百万もの Web サイトがサイバー攻撃にさらされる可能性が生じる。この脆弱性群は、CVE-2024-36387 から CVE-2024-39573 として追跡されており、mod_proxy／mod_rewrite／コア機能などの、Apache HTTP Server の各種コンポーネントに影響を与えるという。


中でも深刻度の高い脆弱性は、以下の通りである：

  • CVE-2024-38472 (Important)：Windows システムの SSRF (Server-Side Request Forgery) 脆弱性。機密性の高い NTML ハッシュが漏洩する可能性がある。
  • CVE-2024-38474 (Important)：後方参照の符号化された疑問符を介した、コード実行およびソースの漏洩の脆弱性。
  • CVE-2024-38475 (Important)：mod_rewrite の不適切なエスケープによる、ファイル・システムの位置への不正アクセスの脆弱性。
  • CVE-2024-38476 (Important)： 悪意のバックエンド・アプリケーションの出力を経由した、 情報漏洩／SSRF／ローカル・スクリプト実行の脆弱性。

これらの脆弱性の悪用に成功した攻撃者は、サーバのクラッシュ／認証のバイパス／機密データの窃取／感染したシステムの完全な制御などの可能性を手にする。

すでに Apache Software Foundation は、バージョン 2.4.60 をリリースし、すべての報告された脆弱性に対処している。ユーザーに対して強く推奨されるのは、このバージョンへと直ちにアップグレードすることである。

Apache HTTP Server は、世界で最も人気の Web サーバのひとつであり、インターネットのかなりの部分を支えている。これらの脆弱性は深刻であり、その影響は広範囲に及ぶため、攻撃者にとって格好の標的となる。

迅速なパッチ適用を怠った場合には、Web サイトの停止／データ漏洩／財務上の損失などの、深刻な被害を被る可能性が生じる。

ユーザー組織に対しては、パッチ適用に加えて、下記の対策も推奨される：

  • 設定の見直しと更新： 特に mod_proxy と mod_rewrite のルールに注意し、意図しない動作を防ぐために、必要な変更を適用する。
  • ログの監視： 悪用の試みや不正アクセスの兆候などの、不審なアクティビティの存在を監視する。
  • WAF (web application firewall) の導入： WAF により、悪意のトラフィックをフィルタリングすることで、悪用リスクが軽減される。

CVE-2024-36387 から CVE-2024-39573 までの間が、すべて埋め尽くされているのかどうか分かりませんが、それにしても大変な量の脆弱性が開示されています。バージョン 2.4.60 がリリースされ、すべての報告された脆弱性が修正されているとのことです。ご利用のチームは、パッチを お急ぎください。よろしければ、Apache で検索も、ご利用ください。