Apach HTTP Serverの複数の脆弱性情報(Low: CVE-2019-10092, CVE-2019-10098, Moderate: CVE-2019-10082, CVE-2019-10081, CVE-2019-9517, CVE-2019-10097)

2019.08.15

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

08/15/2019にApach HTTP Serverの複数の脆弱性情報(Low: CVE-2019-10092, CVE-2019-10098, Moderate: CVE-2019-10082, CVE-2019-10081, CVE-2019-9517, CVE-2019-10097)が公開されていて、修正版の2.4.41が出ています。今回はこれらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

2019/08/22 14:30更新：Red Hatの情報を追加しました。

Priority/CVSS

  • CVE-2019-10092

    Low

    • SuSE
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 4.7
      • Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
    • NVD
  • CVE-2019-10098

    Low

    • SuSE
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 3.7
      • Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
    • NVD
  • CVE-2019-10082

    Moderate

    • SuSE
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 5.3
      • Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
    • NVD
  • CVE-2019-10081

    Moderate

    • SuSE
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 5.3
      • Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
    • NVD
  • CVE-2019-9517

    Moderate/Important

    • SuSE
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 7.5 (Important)
      • Vector: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
    • NVD
  • CVE-2019-10097

    Moderate

    • SuSE
    • Red Hat Customer Potal
      • CVSS v3 Base Score: 4.8
      • Vector: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L
    • NVD

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • CVE-2019-10092
    • mod_proxyエラーページでの限定的なXSSの可能性
    • 重要度 – Low
    • 影響するバージョン: Apache 2.4.39, 2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33, 2.4.30, 2.4.29, 2.4.28, 2.4.27, 2.4.26, 2.4.25, 2.4.23, 2.4.20, 2.4.18, 2.4.17, 2.4.16, 2.4.12, 2.4.10, 2.4.9, 2.4.7, 2.4.6, 2.4.4, 2.4.3, 2.4.2, 2.4.1, 2.4.0
    • mod_proxyエラーページで限定的なXSSの可能性があります。これはサーバがproxy有効の状態でセットアップされた場合に悪用可能です
  • CVE-2019-10098
    • mod_rewriteのopen redirectの可能性
    • 重要度 – Low
    • 影響するバージョン: Apache 2.4.39, 2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33, 2.4.30, 2.4.29, 2.4.28, 2.4.27, 2.4.26, 2.4.25, 2.4.23, 2.4.20, 2.4.18, 2.4.17, 2.4.16, 2.4.12, 2.4.10, 2.4.9, 2.4.7, 2.4.6, 2.4.4, 2.4.3, 2.4.2, 2.4.1, 2.4.0
    • 自分地震を参照するmod_rewriteで構成されたリダイレクトは、エンコードされた改行に騙され、リクエストURL内の予期しないURLにリダイレクトされる可能性があります。
  • CVE-2019-10082
    • mod_http2のh2接続シャットダウン時のread-after-freeの可能性
    • 重要度 – Moderate
    • 影響するバージョン: Apache 2.4.39, 2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33, 2.4.32, 2.4.29, 2.4.28, 2.4.27, 2.4.26, 2.4.25, 2.4.23, 2.4.20, 2.4.18
    • ファジングされたネットワーク入力を用い、http/2セッションが接続のシャットダウン中にfreeになったメモリをreadする可能性があることがわかり混した。
  • CVE-2019-10081
    • mod_http2のメモリ破壊の可能性
    • 重要度 – Moderate
    • 影響するバージョン: Apache 2.4.39, 2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33, 2.4.32, 2.4.29, 2.4.28, 2.4.27, 2.4.26, 2.4.25, 2.4.23, 2.4.20
    • HTTP/2の早いpush時、例えば”H2PushResource”のようなものでは、リクエストプールをプッシュしている間にメモリを上書きしてしまいクラッシュを招くことがあります。
  • CVE-2019-9517
    • mod_http2でh2 workerの枯渇によるDoS攻撃の可能性
    • 重要度 – Moderate
    • 影響するバージョン: Apache 2.4.39, 2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33, 2.4.32, 2.4.29, 2.4.28, 2.4.27, 2.4.26, 2.4.25, 2.4.23, 2.4.20
    • 悪意のあるクライアントが膨大な接続リクエストと、基本的にTCP接続で応答を読まない事によりDoS攻撃を仕掛けることが可能です。
  • CVE-2019-10097
    • mod_remoteipでのNULLポインタ被参照によるスタックバッファーオーバーフローの可能性
    • 重要度 – Moderate
    • 影響するバージョン: Apache 2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33
    • mod_remoteipが設定され”PROXY”プロトコルで内部の信頼されたプロキシサーバーとして動いている場合、特別に細工されたPROXYヘッダによりNULLポインタ被参照を引き起こしてスタックバッファーオーバーフローを引き起こすことが可能です。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

また、サービスの再起動が発生しますので、peacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

セキュリティ系連載案内

セミナー情報1

コンピュータセキュリティシンポジウム2019(長崎)が2019年10月21日(月) ～ 10月24日(木)で開催されます。

こちらですが、OSSセキュリティ技術の会も後援になっており、オープンソースソフトウェア（OSS）セキュリティ技術トラック（略称：OWSトラック） も用意しております。

セミナー情報2

“distro info”: vol.1 と題しまして、各種ディストリビューションの情報を関係者から直接お届けするイベント「distro info」が開催されます。

今回は、先日リリースされたDebian10について、Debianの概要から含めての説明〜Debian10での特徴の紹介をします。ざっくり概要を把握されたい方から、発表者に確認の質問をしてみたい方までどうぞご参加下さい。

また、先月末にブラジルでDebian Conferenceが行われましたのでその紹介を行います。「Debianのカンファレンスってこんなのなんだな」というのを現地エピソードなど交えてお話します。

タイトルとURLをコピーしました