Trusted Design

CVE-2021-41773 の詳細

CVEの情報

説明:
A flaw was found in a change made to path normalization in Apache HTTP Server 2.4.49. An attacker could use a path traversal attack to map URLs to files outside the directories configured by Alias-like directives. If files outside of these directories are not protected by the usual default configuration "require all denied", these requests can succeed. If CGI scripts are also enabled for these aliased pathes, this could allow for remote code execution. This issue is known to be exploited in the wild. This issue only affects Apache 2.4.49 and not earlier versions. The fix in Apache HTTP Server 2.4.50 was found to be incomplete, see CVE-2021-42013.

CVE更新日: 2021-10-05 09:15:07.593000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2021-11-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999920000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2021-41773について、以下の観点で解説します。

1. 脆弱性の概要

Apache HTTP Server 2.4.49において、パスの正規化処理に不備があり、遠隔の第三者がパス・トラバーサル攻撃を用いてドキュメントルート外のファイルにアクセスできる脆弱性です。この脆弱性は、URLをエイリアス設定されたディレクトリ外のファイルにマッピングすることを可能にします。

1.1 影響

  • 情報漏洩: ドキュメントルート外に格納されている機密ファイルが読み取られる可能性があります。
  • 任意のコード実行 (RCE): CGIスクリプトが有効になっている場合、攻撃者はリモートで任意のコードを実行する可能性があります。

1.2 深刻度

  • NISTのCVSSv3.1スコアは 9.8 (Critical) です。
  • The Apache Software Foundationは、この脆弱性の深刻度を「重要 (important)」と評価しています。ただし、修正版の2.4.50がリリースされた後、修正が不十分であることが判明し、CVE-2021-42013として別途最高レベルの深刻度で評価されました。

2. 対象となる環境

2.1 影響を受けるOSバージョン

特定のOSバージョンに限定されるものではなく、Apache HTTP Serverのバージョンに依存します。

2.2 影響を受ける設定

以下の条件を満たすApache HTTP Server 2.4.49が影響を受けます:

  • Apache HTTP Server 2.4.49 を使用している場合。
  • ドキュメントルート外のファイルが、デフォルトのアクセス制御設定である "require all denied" によって制限されていない場合。
  • mod_cgi が有効化されている場合 (任意のコード実行の可能性)。

3. 影響を受けた時の兆候

  • サーバーアクセスログに、../../../etc/passwd のような不審なディレクトリトラバーサルリクエストが記録される。
  • 機密設定への繰り返しアクセス試行、不審なIPからの接続、過剰な失敗リクエスト、または不正なファイルアクティビティ。
  • 予期しないファイルの参照、またはリモートからの任意のコマンド実行。

4. 推奨対策

4.1 本対策

  • Apache HTTP Serverをバージョン2.4.51以降にアップデートする。CVE-2021-41773の修正を含むバージョン2.4.50がリリースされましたが、この修正には不備があり、別の脆弱性CVE-2021-42013が発見されました。そのため、最終的な修正バージョンである2.4.51へのアップデートが推奨されます。

4.2 暫定回避策（緩和策）

  • デフォルトのアクセスコントロール設定である "require all denied" を有効にする。ドキュメントルート外のファイルへのアクセスが、この設定によって適切に制限されていることを確認します。
  • Web Application Firewall (WAF) で攻撃をブロックするルールを設定する。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る