Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

独自コードで検証、「Apache HTTPD」の修正不備を発見

「Apache HTTP Server」に深刻なパストラバーサルの脆弱性「CVE-2021-41773」が見つかった問題。アップデートによる修正後まもなく、複数研究者の報告によって修正の不備が判明し、再び利用者は「CVE-2021-42013」への対応に追われることとなった。

報告者のひとりで、インターネットイニシアティブ(IIJ)のセキュリティオペレーションセンターでアナリストを務める熊坂駿吾氏によると、検証時に攻撃コードは公開済みだったが、同社解析チームで脆弱性の詳細を確認し、異なる独自のコードを作成。検証したところ、修正版として公開された「同2.4.50」では攻撃を防ぐことができないことを確認し、開発チームに報告したという。

同氏は同脆弱性について、「CVE-2021-41773の修正漏れであり、大きな発見とはいえない」とし、「比較的思いつきやすい手法」により発見したものであると説明。

一方、こうした地味な気づきや思いつきやすい手法であっても、検証や評価を日々継続することから今回の発見に至ったとし、脆弱性対策における地道な活動の重要性を強調した。

同脆弱性が利用者に与える影響について、対象となるバージョンでは複雑な手順なしに悪用されてしまう可能性が十分に考えられると指摘している。

所属するIIJでは、「CVE-2021-41773」に関して10月6日より探索活動を観測している。設定による回避策も公開されているが、対策漏れなど生じさせないためにも、早急に「同2.4.51」へ更新することを推奨。同社ブログなどでも脆弱性に関する技術的な情報を公開し、注意を呼びかけている。

記事訂正のお知らせ:IIJより追加で情報提供を受け、同社における攻撃の観測状況について記載を見直し、修正いたしました。

(Security NEXT - 2021/10/08 ) このエントリーをはてなブックマークに追加

PR

関連記事

2021年度の個人情報漏洩などの報告は6000件弱 - 4件に1件が不正アクセス
Google、「Chrome 103」をリリース - 重要度「クリティカル」の脆弱性に対処
サーバに不正アクセス、ポイントカードで障害も - ナフコ
ひな人形の通販サイト、クレカ含む個人情報が流出した可能性
職員3人「Emotet」感染、認証情報窃取されスパム踏み台に - 室蘭工業大
配布チラシに生活保護受給者の伝票が混入、共有複合機で - 生駒市
不正アクセスで顧客の個人情報が流出の可能性 - スマホ買取店
即時口座開設システムで障害、一部本人確認画像など破損 - セブン銀
経産省、メタップスPに行政処分 - 診断で脆弱性見つかるも報告書改ざん
脆弱性1件を修正した「Microsoft Edge 103.0.1264.44」が公開に