セキュリティエンジニアが気になったニュースまとめ　2021/10/4～10/10

sec

最近話題になったセキュリティ関連のニュースから、今回は複数の脆弱性が報告されたWebサーバソフトウェア「Apache HTTP Server」に関する記事を紹介します。

2021/10/06

Fixed in Apache HTTP Server 2.4.50

https://httpd.apache.org/security/vulnerabilities_24.html#2.4.50

Webサーバソフトウェア「Apache HTTP Server」のバージョン「2.4.49」において、以下の脆弱性を修正したバージョン「2.4.50」が公開されました。

CVE-2021-41524　-　HTTP/2リクエストの処理における、NULLポインタ参照の脆弱性
CVE-2021-41773　-　パスの正規化処理の欠陥による、パストラバーサルの脆弱性

CVE-2021-41524」は、「HTTP/2」の処理において細工したリクエストによりサービス拒否に陥るおそれがある脆弱性で、「CVE-2021-41773」は、ドキュメントルート外のファイルにおいて、明示的にアクセス拒否を設定していないファイルを参照されることによる情報漏洩が懸念されるとのこと。

・関連記事
Apache HTTP Server 2.4における複数の脆弱性に対するアップデート
https://jvn.jp/vu/JVNVU98852848/index.html

「Apache HTTPD」がアップデート – 一部脆弱性はすでに悪用済み
https://www.security-next.com/130424

「Apache HTTP Server」のゼロデイ脆弱性、国内でも攻撃を観測
https://www.security-next.com/130474

実際にBad Packetsでは、カナダやドイツ、インド、ルクセンブルグ、オランダ、シンガポール、イギリス、米国などを発信元として、脆弱なサーバを探索する大量のアクセスがあったことを明らかにした。

クラウド型ウェブアプリケーションファイアウォール（WAF）を運用するセキュアスカイ・テクノロジーにおいても、日本時間10月6日午前中の時点で100サイトにおいて120件以上の攻撃を観測しているという

既に実証コードも複数公開されており、本脆弱性を悪用されているとの報告もあります。