Apache HTTP Serverの脆弱性情報(Moderate: CVE-2006-20001, CVE-2022-36760, CVE-2022-37436)

01/18/2023にApache HTTP Serverの脆弱性情報(Moderate: CVE-2006-20001, CVE-2022-36760, CVE-2022-37436)が公開され、修正版のApache HTTP Server 2.4.55がリリースされました。一つは2006年に指摘されていた脆弱性です。今回はこちらの脆弱性の概要と、各ディストリビューションの情報を纏めています。

[過去関連リンク(最新5件)]

• Apache HTTP Serverの脆弱性情報(Moderate: CVE-2022-26377, Low: CVE-2022-28330, CVE-2022-28614, CVE-2022-28615, CVE-2022-29404, CVE-2022-30522, CVE-2022-30556, CVE-2022-31813 )と2.4.54リリース
• Apache HTTP Serverの脆弱性情報(Important: CVE-2022-22720, CVE-2022-23943, Moderate: CVE-2022-22719, Low: CVE-2022-22721)と修正版(2.4.53)リリース
• Apache HTTP Serverの脆弱性情報(Moderate: CVE-2021-44224, High: CVE-2021-44790)と新バージョン（2.4.52）
• Apache HTTP Serverの脆弱性情報(Critical: CVE-2021-42013, Important: CVE-2021-41773, Moderate: CVE-2021-41524) (PoCつき)と新バージョン(2.4.51)

CVSS/プライオリティ

• CVE-2006-20001
  • 影響するバージョン
    • Apache HTTP Server <= 2.4.54
  • 一時情報源
    • The Art of Software Security Assessment – Identifying and Preventing Software Vulnerabilities
    • Apache HTTP Server 2.4 vulnerabilities
  • Priority
    • Vendor: Moderate
  • CVSS Score / CVSS Vector
    • Red Hat: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
• CVE-2022-36760
  • 影響するバージョン
    • Apache HTTP Server <= 2.4.54
  • 一時情報源
    • Apache HTTP Server 2.4 vulnerabilities
  • Priority
    • Vendor: Moderate
  • CVSS Score / CVSS Vector
    • Red Hat: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:L
• CVE-2022-37436
  • 影響するバージョン
    • Apache HTTP Server <= 2.4.54
  • 一時情報源
    • Apache HTTP Server 2.4 vulnerabilities
  • Priority
    • Vendor: Moderate
  • CVSS Score / CVSS Vector
    • Red Hat: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-20001
  • mod_davによる境界外読み込み、またはゼロバイト書き込み
  • The Art of Software Security Assessment – Identifying and Preventing Software Vulnerabilitiesのp.472で指摘されていた脆弱性の修正です。細工された”if:”リクエストヘッダーにより、送信されたヘッダー値を超えるpool(ヒープ)メモリ位置で、メモリの読み込み・ゼロバイトの書き込みが出来るようになります。これによりプロセスがクラッシュする可能性があります。
• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-36760
  • mod_proxy_ajpでのリクエストスマッグリングの可能性
  • Apache HTTP サーバのmod_proxy_ajpに、HTTPリクエストの一貫性のない解釈 (HTTP リクエスト スマグリング)の脆弱性がみつかりました。攻撃者はこれを利用して、リクエストの転送先のAJPサーバーにリクエストを不正に送ることができます。
• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-37436
  • mod_proxyでのHTTPレスポンスによるキャッシュ偽造の可能性
  • 該当のバージョンのApacheには、悪意のあるバックエンドが早期に応答ヘッダーの切り捨てを行うことが出来ることから、HTTPレスポンスによるキャッシュ偽造（HTTP response splitting）の脆弱性がありました。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

• Debian
  • https://security-tracker.debian.org/tracker/CVE-2006-20001
  • https://security-tracker.debian.org/tracker/CVE-2022-36760
  • https://security-tracker.debian.org/tracker/CVE-2022-37436
• Red Hat Enterprise Linux/CentOS
  • https://access.redhat.com/security/cve/CVE-2006-20001
  • https://access.redhat.com/security/cve/CVE-2022-36760
  • https://access.redhat.com/security/cve/CVE-2022-37436
• Ubuntu
  • https://ubuntu.com/security/CVE-2006-20001
  • https://ubuntu.com/security/CVE-2022-36760
  • https://ubuntu.com/security/CVE-2022-37436
• SUSE/openSUSE
  • https://www.suse.com/security/cve/CVE-2006-20001.html
  • https://www.suse.com/security/cve/CVE-2022-36760.html
  • https://www.suse.com/security/cve/CVE-2022-37436.html

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。

[参考]

• Apache HTTP Server 2.4 vulnerabilities
• The Art of Software Security Assessment – Identifying and Preventing Software Vulnerabilities