過去に発見されたApacheの重大な脆弱性トップ3

世界で最も広く利用されているWebサーバーソフトウェア「Apache」は、これまで幾度となく深刻な脆弱性の標的となってきました。こうした脆弱性は、サーバーをさまざまな悪意ある攻撃やインターネット詐欺にさらし、情報漏洩やデータ損失につながる恐れがあります。Apacheでは脆弱性を含むバージョンに対して定期的にアップデートが提供されていますが、その中でも特にユーザーへの脅威が大きいとして知られる脆弱性を3つ紹介します。

1. Apache OpenMeetingsのSQLインジェクション脆弱性(CVE-2017-7681)

Apache OpenMeetings バージョン1.0.0にはSQLインジェクション脆弱性(CVE-2017-7681)が確認され、情報漏洩の危険性がありました。この脆弱性を悪用するには、攻撃者がコマンドライン、デスクトップセッション、またはWebインターフェース経由でシステムにログインしている必要があります。一部のシステムファイルや情報の改ざんは可能ですが、攻撃者が改ざんできる内容は制限されており、影響範囲も限定的です。

OpenMeetingsは、オンラインプレゼンテーション、オンライントレーニング、Web会議、ユーザーのデスクトップ共有などに幅広く活用されている人気の仮想会議ソフトウェアです。その普及度の高さゆえに、既存クエリの構造が露出するリスクや、アプリケーションがバックエンドで実行する他のクエリ構造が漏洩するリスクをもたらします。

直ちに取るべき対策は、Apache OpenMeetings 3.3.0へのアップグレードです。

2. Apache Rangerのセキュリティバイパス脆弱性(CVE-2017-7676)

Apache Rangerには、セキュリティバイパス脆弱性(CVE-2017-7676)が存在しました。これにより、攻撃者は特定のセキュリティ制限を回避して不正な操作を行い、さらなる攻撃につなげる可能性があります。具体的には、ポリシーリソースマッチャーが「*」ワイルドカード文字以降の文字を無視してしまうため、本来適用されるべきではないリソースにポリシーが適用されるという問題です。

Apache Rangerは、Hadoopプラットフォーム全体にわたる包括的なデータセキュリティの有効化、監視、管理を実現するために広く利用されているフレームワークです。深刻度は低めとされていますが、Rangerバージョン0.5.1から0.7がこの脆弱性の影響を受けます。直ちに取るべき対策は、この問題を修正したApache Ranger 0.7.1へのアップグレードです。

3. Apache HTTP Serverの認証バイパス脆弱性(CVE-2017-3167)

Apache HTTP Serverの認証バイパス脆弱性(CVE-2017-3167)により、攻撃者は認証メカニズムを回避して不正な操作を行い、さらなる攻撃につなげる恐れがあります。影響を受けるバージョンは、Apache HTTP Server 2.2.0〜2.2.32および2.4.0〜2.4.25です。

この脆弱性は、対象ソフトウェアの認証フェーズ以外でサードパーティモジュールがap_get_basic_auth_pw()関数を不適切に使用することに起因します。代わりに、サードパーティモジュールはap_get_basic_auth_components()関数を使用すべきです。

有効な対策としては、以下が挙げられます。

• 修正済みバージョンへのアップデート
• ネットワークアクセスを信頼できるユーザーのみに限定
• IPベースのアクセス制御リスト(ACL)を導入し、信頼できるシステムだけが対象システムへアクセスできるようにする

まとめ

Apacheは非常に多くの環境で採用されているため、脆弱性が発見された際の影響範囲は甚大になりがちです。日頃から最新バージョンへのアップデートを心がけるとともに、WAFなどの多層的なセキュリティ対策を導入しておくことが重要です。

オンライン詐欺からWebサイトを守りたいとお考えですか?AstraのWebセキュリティスイートなら、XSS、LFI、RFI、SQLインジェクション、不正ボットなど80以上の脅威から24時間365日の保護を実現します。カスタムコード製・CMS製を問わず対応可能です。まずはAstraのデモをお試しください。