Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Apache HTTP Server」のゼロデイ脆弱性、国内でも攻撃を観測

ウェブサーバ「Apache HTTP Server」にゼロデイ脆弱性「CVE-2021-41773」が明らかとなった問題で、国内でも攻撃が観測された。セキュリティ関係者が広く注意を呼びかけている。

問題の脆弱性「CVE-2021-41773」は、パストラバーサルの脆弱性。ドキュメントルート外のファイルでも、明示的にアクセス制限を行っていないと漏洩するおそれがある。9月16日にリリースされた「同2.4.49」で生じたもので、同バージョンのみ影響を受ける。

脆弱性公開当初より悪用の報告があったが、その後実証コードも複数公開されており、JPCERTコーディネーションセンターや情報処理推進機構(IPA)などセキュリティ機関では、脆弱性が修正された「同2.4.50」へ更新するよう利用者へ注意を喚起した。

Tenableは、脆弱性検索エンジンの「Shodan」に脆弱なバージョンで動作するサーバが11万1940件登録されていたことを報告。バージョン情報を公開していないケースも多いことから、さらに多くのサーバが影響を受ける可能性があると指摘した。実証コードも公開されており、すぐに実用的な悪用コードが出回ると見て警戒を強めている。

実際にBad Packetsでは、カナダやドイツ、インド、ルクセンブルグ、オランダ、シンガポール、イギリス、米国などを発信元として、脆弱なサーバを探索する大量のアクセスがあったことを明らかにした。

クラウド型ウェブアプリケーションファイアウォール(WAF)を運用するセキュアスカイ・テクノロジーにおいても、日本時間10月6日午前中の時点で100サイトにおいて120件以上の攻撃を観測しているという。

(Security NEXT - 2021/10/07 ) このエントリーをはてなブックマークに追加

PR

関連記事

Zyxel製品の深刻な脆弱性、4月に修正済み - 報告者がサイレントパッチの危険性を指摘
米政府、「CVE-2022-26925」を緊急対応リストから一時削除 - DCへの影響で
Apple、「iOS 15.5」「iPadOS 15.5」をリリース - 脆弱性34件を修正
米政府、VMwareのID管理製品脆弱性で緊急指令 - 侵害確認とパッチ適用求める
F5製「BIG-IP」脆弱性、悪用容易 - 侵害有無の確認を
WordPress向けのテーマやプラグイン「Jupiter」に深刻な脆弱性
「BIND」の「DNS over HTTPS」に脆弱性 - DoS攻撃のおそれ
楽天モバイルのフェムトセルに複数の脆弱性
VMware製IDアクセス管理製品に重要度「クリティカル」の脆弱性 - 認証回避のおそれ
Apple、「macOS」のアップデートを公開 - 多数脆弱性を解消