Apache HTTP Serverの脆弱性情報(Important: CVE-2022-22720, CVE-2022-23943, Moderate: CVE-2022-22719, Low: CVE-2022-22721)と修正版(2.4.53)リリース

[過去の関連リンク(最新5件)]

Apache HTTP Serverの脆弱性情報(Moderate: CVE-2021-44224, High: CVE-2021-44790)と新バージョン（2.4.52）

Apache HTTP Serverの脆弱性情報(Critical: CVE-2021-42013, Important: CVE-2021-41773, Moderate: CVE-2021-41524) (PoCつき)と新バージョン(2.4.51)

一次情報源

https://httpd.apache.org/security/vulnerabilities_24.html

Priority

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22719
  • mod_luaでのr:parsebodyの非初期化値の使用によるDoS(プロセスクラッシュ)
  • Apache HTTP サーバー 2.4.52までのバージョンでは、注意深く細工されたリクエストボディによりランダムメモリエリアを読ませることでプロセスをクラッシュさせることができる可能性があります。
• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22720
  • HTTP Request Smugglingの脆弱性
  • 2.4.52以前のバージョンのApache HTTP サーバでは、リクエストボディを廃棄する際にエラーがあるとインバウンド接続のクローズに失敗することがあり、これによりサーバでHTTP Request Smugglingの脆弱性が発生する可能性があります。
• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-22721
  • 非常に大きい、または無制限のLimitXMLRequestBodyによるバッファーオーバーフローの可能性
  • 32bitのシステムでLimitXMLRequestBodyが(デフォルトでは1Mですが)350MB以上に設定された場合、整数オーバーフローが発生し境界外書き込みが発生する可能性があります。
• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-23943
  • mod_sedでの境界外読み込み／書き込みの可能性
  • Apache HTTP Serverのmod_sedに境界外書き込みの脆弱性が存在し、攻撃者がヒープメモリを上書きすることができる可能性があります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian
  • https://security-tracker.debian.org/tracker/CVE-2022-22719
  • https://security-tracker.debian.org/tracker/CVE-2022-22720
  • https://security-tracker.debian.org/tracker/CVE-2022-22721
  • https://security-tracker.debian.org/tracker/CVE-2022-23943
• Red Hat Enterprise Linux/CentOS
  • https://access.redhat.com/security/cve/CVE-2022-22719
  • https://access.redhat.com/security/cve/CVE-2022-22720
  • https://access.redhat.com/security/cve/CVE-2022-22721
  • https://access.redhat.com/security/cve/CVE-2022-23943
• Ubuntu
  • https://ubuntu.com/security/CVE-2022-22719
  • https://ubuntu.com/security/CVE-2022-22720
  • https://ubuntu.com/security/CVE-2022-22721
  • https://ubuntu.com/security/CVE-2022-23943
• SUSE/openSUSE
  • https://www.suse.com/security/cve/CVE-2022-22719.html
  • https://www.suse.com/security/cve/CVE-2022-22720.html
  • https://www.suse.com/security/cve/CVE-2022-22721.html
  • https://www.suse.com/security/cve/CVE-2022-23943.html

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

[参考]

Apache HTTP Server 2.4 vulnerabilities

日々のメモを更新しています。

セキュリティ関係ニュースを更新しています。個別で情報出せるようになる前の簡単な情報・リンクなんかも載せていきます。