Apach HTTP Serverの複数の脆弱性情報(Important: CVE-2019-0211, CVE-2019-0217, CVE-2019-0215, Low: CVE-2019-0197, CVE-2019-0196, CVE-2019-0220)

2019.04.02

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

04/01/2019にApach HTTP Serverの複数の脆弱性情報(Important: CVE-2019-0211, CVE-2019-0217, CVE-2019-0215, Low: CVE-2019-0197, CVE-2019-0196, CVE-2019-0220)が公開されていて、修正版の2.4.39が出ています。今回はこれらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

2019/04/11: NVDのCVSSを付加しました。Amazon Linuxの情報を追記しました。

Priority

  • CVE-2019-0211

    Important

    • SuSE
      • CVSS v3 Base Score: 8.8
      • Vector: AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 9.6
      • Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
    • NVD
      • CVSS v3 Base Score: 7.8 HIGH
      • Vector: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
      • CVSS Severity (version 2.0):
      • CVSS v2 Base Score: 7.2 HIGH
      • Vector: (AV:L/AC:L/Au:N/C:C/I:C/A:C)
  • CVE-2019-0217

    Important

    • SuSE
      • CVSS v3 Base Score: 5.4
      • Vector: AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 7.1
      • Vector: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
    • NVD
      • CVSS v3 Base Score: 7.5 HIGH
      • Vector: AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
      • CVSS Severity (version 2.0):
      • CVSS v2 Base Score: 6.0 MEDIUM
      • Vector: (AV:N/AC:M/Au:S/C:P/I:P/A:P)
  • CVE-2019-0215

    Important

    • SuSE
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 8.1
      • Vector: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
    • NVD
      • CVSS v3 Base Score: 7.5 HIGH
      • Vector: AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
      • CVSS Severity (version 2.0):
      • CVSS v2 Base Score: 6.0 MEDIUM
      • Vector: (AV:N/AC:M/Au:S/C:P/I:P/A:P)
  • CVE-2019-0197

    Low

    • SuSE
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 5.3
      • Vector: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:H
    • NVD
  • CVE-2019-0196

    Low

    • SuSE
      • CVSS v3 Base Score: 5
      • Vector: AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:L
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 7.5
      • Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
    • NVD
  • CVE-2019-0220

    Low

    • SuSE
      • CVSS v3 Base Score: 5.3
      • Vector: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 5.5
      • Vector: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
    • NVD

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • CVE-2019-0211
    • モジュールのスクリプトからの特権昇格の可能性
    • 重要度 – Important
    • 影響するバージョン: Apache 2.4.17-2.4.38
    • Apache MPM event, workerまたはprefork, 少ない権限の子プロセスやスレッド(in-processスクリプトインタプリタによって実行されたスクリプトを含む)は、Apache Scoreboardを操作することで、親プロセスの権限(通常はroot)で任意のコードを実行することが出来ます。Unix以外のシステムには影響しません。
  • CVE-2019-0217
    • mod_auth_digestアクセス制御の迂回の可能性
    • 重要度 – Important
    • 影響するバージョン: Apache 2.4.0 – 2.4.38
    • 2.4.0-2.4.38のmod_sessionでは、スレッド化されたサーバで動作しているmod_auth_digestに競合状態があり、有効な証明書を持つユーザにその他のユーザ名を使用させることを許可します。これにより、設定されたアクセス制御を迂回することが出来る可能性があります。
  • CVE-2019-0215
    • mod_ssl アクセス制御の迂回の可能性
    • 重要度 – Important
    • 影響するバージョン: Apache 2.4.37 – 2.4.38
    • 2.4.37-2.4.38のmod_sessionでは、ロケーション毎のTLSv1.3でのクライアント証明書確認の際のmod_sslのバグにより、Post-Handshake認証をサポートしているクライアントに対して、設定されたアクセス制御を迂回することが許可される可能性があります。
  • CVE-2019-0197
    • mod_http2のクラッシュの可能性
    • 重要度 – Low
    • 影響するバージョン: Apache 2.4.34 – 2.4.38
    • http: hostを有効にするためにHTTP/2が有効にされている時、またはH2Upgradeがhttps: hostのh2で有効にされている時、その接続で最初のリクエストではないhttp/1.1からhttp/2へのアップグレードリクエストが設定の不具合とクラッシュを引き起こす可能性が有ります。
  • CVE-2019-0196
    • mod_http2の文字列比較時にread-after-freeが発生する可能性
    • 重要度 – Low
    • 影響するバージョン: Apache 2.4.18 – 2.4.38
    • ネットワークファジングを使うことにより、http/2リクエストハンドリングが文字列比較時に、freeになったメモリにアクセスに行く可能性があることがわかりました。
  • CVE-2019-0220
    • httpd URL正規化に矛盾が発生する可能性
    • 重要度 – Low
    • 影響するバージョン: Apache 2.4.0 – 2.4.38
    • リクエストされたURLが複数の連続した”/”を含んでいる時、LocationMatchとRewriteRuleディレクティブは正規表現式の中では重複を考慮しなくてはならず、その他のサーバ処理では暗黙的に折りたたむため、矛盾が生じます。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、サービスの再起動が発生しますので、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

セキュリティ系連載案内

タイトルとURLをコピーしました