• ビジネス
  • IT
  • テクノロジー
  • 医療
  • 建設・不動産
  • TRENDY
  • WOMAN
  • ショッピング
  • 転職
  • ナショジオ
  • 日経電子版
  • 日経BP
  • PR

  • PR

  • PR

  • PR

  • PR

ニュース

Webサーバー「Apache 2.0.x」にセキュリティ・ホール,最新版2.0.51にアップデートを

勝村幸博 2004/09/16 ITpro

 英NISCC(National Infrastructure Security Co-ordination Center)などは9月15日,Webサーバー「Apache」のバージョン2.0.xに見つかったセキュリティ・ホールを公表した。細工を施したリクエストを送信されると,Apacheをクラッシュさせられたり,任意のプログラムを実行させられたりする恐れがある。対策はパッチの適用やアップデート。セキュリティ・ホールを修正したApache 2.0.51が公開されている。なお,Apache 1.3.xは影響を受けない。

 NISCCなどが公開したセキュリティ・ホールは次の2種類。

(1)IPv6形式アドレスをチェックしないセキュリティ・ホール
(2)設定ファイル内の環境変数の長さをチェックしないセキュリティ・ホール

 (1)は,Apache Software Foundationが発見したセキュリティ・ホール。このセキュリティ・ホールは,Apacheの「apr-util」ライブラリが原因。apr-utilライブラリに含まれる関数「apr_uri_parse」は,IPv6形式のURLをきちんとチェックしない。このため,IPv6形式アドレスを含む細工が施されたリクエスト(Request-URIやHost headerなど)を送信されると,apr_uri_parseでバッファ・オーバーフローが発生する。

 その結果,Apacheのプロセス(httpdの子プロセス)をクラッシュさせられる可能性がある。BSDプラットフォームの場合には,任意のプログラムを実行させられる危険もあるという。

 (2)を発見したのは,Swedish IT Incident Centre(SITIC)。Apacheで使われている「ap_resolve_env()」関数が,「.htaccess」や「httpd.conf」といった設定ファイル中の環境変数(${ENVVAR})を適切に取り扱わないことが原因。

 具体的には,バッファを適切に確保しないため,環境変数を展開する際にバッファ・オーバーフローが発生する可能性がある。その結果,特定ユーザーの権限を昇格させてしまう(例えば,本来はアクセスできないディレクトリ/ファイルにアクセスできるようになる)。

 ただし,バッファ・オーバーフローを発生させるには,細工を施した設定ファイルをあらかじめApacheサーバーに仕込んでおく必要がある。つまり,Apacheサーバーへのアクセス権限が必要。(1)とは異なり,リモートからこのセキュリティ・ホールを悪用することはできない。

 対策は,最新版のApache 2.0.51にアップグレードすること。最新版では,上記2つのセキュリティ・ホールに加え,以下のセキュリティ・ホールも修正されている。

(3)mod_ssl におけるsegmentation fault
(4)mod_ssl における無限ループ
(5)mod_dav_fs におけるsegmentation fault

 (3)は,ApacheのSSLモジュール「mod_ssl」に関するセキュリティ・ホール。他のSSLサーバーのリバース・プロキシーとしてApacheサーバーを使っている場合のみ影響を受ける。悪用されると,リモートからApacheサーバー(httpdプロセス)を停止させられる(segmentation faultを発生させられる)。

 (4)も,mod_sslに関するセキュリティ・ホール。あるタイミングでSSLコネクションを破棄されると,mod_sslで無限ループの処理が発生して,CPU資源を消費してしまう。

 (5)は「mod_dav_fs」モジュールに関するセキュリティ・ホール。(3)同様,リモートから,httpdプロセスを停止させられる。

 Apache Software Foundationでは,(1)から(5)を修正する個別のパッチも公開している。また,OSベンダーなどは,それぞれのプラットフォーム用のアップデート版を提供することが予想されるので,それらをインストールしてもよい。

 Apache Software Foundationから登録者に送られたメールには,「We consider this release(2.0.51)to be the best version of Apache available and encourage users of all prior versions to upgrade.」と書かれている。Apache 2.0.xの管理者は,ぜひアップデートしたい。

◎参考資料
Vulnerability Issues with the Apache Web Server(NISCC)
Apache HTTP Server 2.0.51 Released(Apache Software Foundation)
Downloading the Apache HTTP Server(Apache Software Foundation)
Index of /dist/.../apply_to_2.0.50(Apache Software Foundation)
[ANNOUNCE] Apache HTTP Server 2.0.51 Released(Apache Software Foundation)
Apache に関する複数の脆弱性(JP Vendor Status Notes)
Apache 2.0.51 のリリース(IPA)
403518/NISCC/APACHEに関する情報(富士通)
Apache apr-util Library and Environment Variable Expansion Vulnerabilities(Secunia)

(勝村 幸博=IT Pro)

あなたにお薦め

連載新着

連載目次を見る

今のおすすめ記事

ITpro SPECIALPR

What’s New!

経営

アプリケーション/DB/ミドルウエア

クラウド

運用管理

設計/開発

サーバー/ストレージ

クライアント/OA機器

ネットワーク/通信サービス

セキュリティ

もっと見る