Trusted Design

CVE-2021-40438 の詳細

CVEの情報

説明:
A crafted request uri-path can cause mod_proxy to forward the request to an origin server choosen by the remote user. This issue affects Apache HTTP Server 2.4.48 and earlier.

CVE更新日: 2021-09-16 15:15:07.633000

CVSSバージョン: 3.1

CVSSスコア: 9.0

KEVの情報

KEV更新日: 2021-12-01

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999990000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-40438は、Apache HTTP Serverのmod_proxyモジュールに存在するServer-Side Request Forgery (SSRF) の脆弱性です。以下に、その詳細を解説します。

1. 脆弱性の概要

Apache HTTP Serverのmod_proxyモジュールにServer-Side Request Forgery (SSRF) の脆弱性が存在します。攻撃者は、巧妙に細工されたリクエストのURIパスを介して、httpdサーバーに任意のサーバーへのリクエストを転送させることができます。これにより、ファイアウォールの背後にある、通常はアクセスできない内部サービスのリソースへのアクセス、変更、または削除が可能になる可能性があります。

1.1 影響 認証されていないリモートの攻撃者がこの脆弱性を悪用することで、脆弱なリバースプロキシ環境を悪用し、リクエストを攻撃者が制御するサーバーや内部のオリジンサーバーへ転送させることができます。これにより、SSRF攻撃、内部偵察、および下流のシステムへの侵害につながる可能性があります。 具体的には、以下の影響が考えられます。

  • 機密情報へのアクセス: 攻撃者は、インフラストラクチャのメタデータやキーなどの機密情報を窃取したり、外部からアクセスできない内部サーバーにアクセスしたりする可能性があります。
  • IPベース認証のバイパス: オリジンサーバーやアプリケーションのIPベース認証をバイパスするために使用される可能性があります。
  • リソースの改ざん/削除: ファイアウォールの背後にある他のサービスのリソースを取得、変更、または削除する可能性があります。
  • サービス拒否 (DoS) : オリジンサーバーへのリクエスト転送に至らず、HTTPステータスコード503 (Service Temporarily Unavailable) が発生し、その後の正当なリクエストについてもHTTPステータスコード503が発生する状態となる可能性があります。

この脆弱性の影響は、httpdネットワーク上で利用できるサービスやリソースによって大きく異なります。

1.2 深刻度 CVE-2021-40438の深刻度は、CVSS v3.0でベーススコア9.0 (Critical) と評価されています。 これは、攻撃の複雑性が高い (AC:H) とされているものの、機密性、完全性、可用性への影響がすべて高い (C:H, I:H, A:H) ためです。 米国国土安全保障省のサイバーセキュリティ・インフラセキュリティ庁 (CISA) は、2021年12月1日にこの脆弱性を「既知の悪用された脆弱性のカタログ (Known Exploited Vulnerabilities Catalog)」に追加しており、実際に悪用が確認されている重大な脆弱性であることを示しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン この脆弱性は、Apache HTTP Serverのバージョン2.4.48およびそれ以前のバージョンに影響します。 具体的なOSディストリビューションでは、以下のバージョンが影響を受け、修正されています。

  • Ubuntu:
    • 22.04 LTS jammy: Fixed 2.4.48-3.1ubuntu2
    • 21.10 impish: Fixed 2.4.48-3.1ubuntu2
    • 21.04 hirsute: Fixed 2.4.46-4ubuntu1.3
    • 20.04 LTS focal: Fixed 2.4.41-4ubuntu3.6
    • 18.04 LTS bionic: Fixed 2.4.29-1ubuntu4.18
    • 16.04 LTS xenial: Fixed 2.4.18-2ubuntu3.17+esm3
    • 14.04 LTS trusty: 影響なし
  • Red Hat Enterprise Linux 7: httpdのバージョンがこの脆弱性の影響を受けます。これは、アップストリームのコードにはなかったUnix Domain Socketのサポートがバックポートされたためです。
  • Red Hat Enterprise Linux 6: Unix Domain Socketのサポートがないため、この脆弱性の影響を受けません。
  • Arch Linux: apache 2.4.48-1が影響を受け、2.4.49-1で修正されています。

2.2 影響を受ける設定 この脆弱性は、以下の条件が満たされた場合にのみ悪用可能です。

  • mod_proxyモジュールが有効になっていること: mod_proxyモジュールが有効 (例: ProxyPassやProxyPassReverseがhttpd設定ファイルで使用されている) である必要があります。
  • Unix Domain Socket (UDS) のサポートが有効であること: この脆弱性をトリガーするために必要なUDSサポートが存在する必要があります。

3. 影響を受けた時の兆候

この脆弱性はSSRF攻撃を可能にするため、直接的なシステムのクラッシュやエラーメッセージとして現れることは少ない可能性があります。しかし、以下のような兆候が考えられます。

  • 予期せぬ内部リクエストの発生: Apache HTTP Serverが、設定にない内部ネットワーク上のサービスや、通常は到達できない外部のIPアドレスに対してリクエストを送信しているログが確認される場合。
  • 内部システムへの不正アクセス: ファイアウォールやネットワークセグメンテーションによって保護されているはずの内部データベース、API、または管理インターフェースなどへの不正アクセスが検出された場合。
  • 情報漏洩の兆候: 通常は公開されないシステム情報、メタデータ、認証情報などが外部に漏洩した兆候が見られる場合。
  • パフォーマンスの低下: 不正なリクエスト転送により、Apache HTTP Serverやバックエンドのオリジンサーバーに過負荷がかかり、パフォーマンスが低下する可能性があります。
  • HTTPステータスコード503の発生: 攻撃によってオリジンサーバーにリクエストが転送されるまでに至らず、HTTPステータスコード503 (Service Temporarily Unavailable) が発生し、その後の正当なリクエストも同様のエラーを返す状態になる可能性があります。

4. 推奨対策

4.1 本対策

  • Apache HTTP Serverのバージョンアップ: Apache HTTP Serverをバージョン2.4.49以降にアップグレードすることが推奨される根本的な解決策です。バージョン2.4.49、2.4.51以降にはこの脆弱性に対する修正が含まれています。 公式のApache HTTP Serverプロジェクトウェブサイトから最新バージョンをダウンロードしてください。
  • OSベンダーが提供するパッチの適用: 使用しているOSディストリビューション (Red Hat Enterprise Linux, Ubuntuなど) から提供されるセキュリティアップデートやパッチを適用してください。

4.2 暫定回避策（緩和策）

  • mod_proxyモジュールの無効化: 直ちにパッチを適用できない場合、mod_proxyモジュールを使用していないのであれば、無効にすることで脆弱性の悪用を防ぐことができます。
  • mod_proxyの設定の見直し: mod_proxyを使用している場合、ProxyPassやProxyPassReverseなどの設定をレビューし、不要なプロキシ設定を削除するか、許可された宛先にのみリクエストを転送するように厳格に制限してください。
  • ファイアウォールによる内部リソースへのアクセス制限: Webサーバーからアクセスできる内部リソースを制限するファイアウォールルールを設定し、Webサーバーが公開すべきでない内部リソースにアクセスできないようにすることで、被害を軽減できます。
  • WAF (Web Application Firewall) の導入/設定: WAFを導入している場合、SSRF攻撃をブロックするルールを有効にするか、特定のIPアドレスからのリクエストをブロックするテンプレートルールを設定することで、悪用から保護できる可能性があります。
  • ソフトウェア構成分析 (SCA) の実施: オープンソースソフトウェアの構成を分析し、コード内のすべての部分とバージョンを特定することで、脆弱なライブラリやコンポーネントを早期に発見し対処することができます。
  • 仮想パッチ/侵入防御システム (IPS) の導入: パッチ管理が困難な場合、仮想パッチやIPSなどの技術を導入することで、脆弱性の悪用を検出しブロックし、ベンダーからの正式なパッチ適用までの時間を確保できます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る