ITよろづや

ITの参考になる情報を備忘録代わりに残していきます

Apache httpd 2.4.48 リリース 脆弱性CVE-2021-31618の修正 細工した HTTP/2でサービス拒否

Apache httpd 2.4.48 リリース 脆弱性CVE-2021-31618の修正 細工した HTTP/2でサービス拒否に対するものだそうです。

 

情報元はこちら。

【セキュリティ ニュース】「Apache httpd 2.4.48」がリリース - 脆弱性8件を修正(1ページ目 / 全1ページ):Security NEXT

 

Apache HTTP Server」の開発チームは、セキュリティアップデートとなる「同2.4.48」を6月1日にリリースしたとのこと。

 

脆弱性によって影響を受けるバージョンは異なるが、今回のアップデートでは、あわせて8件の脆弱性に対処した。重要度が4段階中もっとも高い「クリティカル(Critical)」とされる脆弱性は含まれていない。

今回のアップデートにおいて、4段階中2番目に高い「重要(Important)」とされる脆弱性は、「HTTP/2」のプロトコル処理に明らかとなった「CVE-2021-31618」の1件のみ。細工した「HTTP/2」リクエストによって、NULLポインタ参照が生じて子プロセスがクラッシュし、サービス拒否に陥るおそれがある。

重要度「中(Moderate)」とされる脆弱性は3件。「mod_proxy_wstunnel」の処理に起因し、認証をバイパスされるおそれがある「CVE-2019-17567」や、「MergeSlashes」ディレクティブの設定によって意図しないURLと一致する「CVE-2021-30641」、「Windows」において権限のないローカルユーザーによってhttpdを停止できる「CVE-2020-13938」などを修正した。残る4件は、もっとも低い「低(Low)」とレーティングされている。

 

 

公式サイトの情報です。

httpd 2.4 vulnerabilities - The Apache HTTP Server Project

 

重要となっているところを抜粋します。

 

重要: 特別に細工されたHTTP / 2リクエストでのNULLポインター逆参照 (CVE-2021-31618)
HTTP / 2プロトコル用のApacheHTTP Serverプロトコルハンドラーは、サーバー用に構成され、HTTP / 1プロトコルにも使用されるサイズ制限に対して受信した要求ヘッダーをチェックします。これらの制限に違反すると、HTTP応答が、要求が拒否された理由を示すステータスコードとともにクライアントに送信されます。

問題のヘッダーが最初に受信された、またはフッターに表示された場合、この拒否応答はHTTP / 2プロトコルハンドラーで完全に初期化されませんでした。これにより、初期化されたメモリでNULLポインタの逆参照が発生し、子プロセスが確実にクラッシュしました。このようなトリガーHTTP / 2リクエストは簡単に作成して送信できるため、これを悪用してサーバーのDoSに利用できます。

この問題は、mod_http21.15.17およびApacheHTTPServerバージョン2.4.47にのみ影響しました。Apache HTTP Server2.4.47はリリースされませんでした。

 

重要: 特別に細工されたHTTP / 2ヘッダーで日記のクラッシュをプッシュ (CVE-2020-9490)
Apache HTTPサーバーバージョン2.4.20から2.4.43では、HTTP / 2リクエストの「Cache-Digest」ヘッダーに特別に細工された値を使用すると、サーバーが実際に後でリソースをHTTP / 2PUSHしようとするとクラッシュします。「H2Pushoff」を介してHTTP / 2機能を構成すると、パッチが適用されていないサーバーに対するこの脆弱性が軽減されます。

 

なるべくアップデートをしたほうがいいでしょうね。