最近のApacheのトラブルの原因となったパストラバーサル脆弱性の影響を体験してみましょう

10月初旬、Apacheはパストラバーサルおよびリモートコード実行の脆弱性を修正するためにバージョン2.4.49をリリースしましたが、その修正が不完全であったため、続いて2.4.50をリリースしました。Apacheはインターネットの25%を支えているとも言われており、こうしたリスクを回避するために最新バージョンへアップデートすることの重要性がSNSなどで話題になったのを目にした方もいるかもしれません。では、具体的に何が問題なのでしょうか？どの程度の危険性があるのでしょうか？

実際に試してみませんか？

私たちは、このリスクを実際の環境で実証するミッションを作成し、誰でも試せるように公開しました。このミッションでは、パストラバーサル脆弱性がインフラやアプリケーションにどのような影響を与えるかを順を追って解説します。以下をクリックしてすぐに始めるか、読み進めて脆弱性の詳細をご確認ください。

パストラバーサル脆弱性について 

この脆弱性は、バージョン2.4.49で（URL正規化関数の変更に伴い）導入された新しいパス正規化関数に起因するものです。残念ながら、この関数はURLエンコードされたパスを正しく正規化できていませんでした。そのため、以下の設定が適用されていない場合、パストラバーサル攻撃が可能になってしまいます。

さらに、mod_cgiが有効になっている場合は、リモートコード実行の脆弱性にまで発展する可能性があります。まずはURLエンコードの仕組みを掘り下げ、何が問題だったのかを理解しましょう。

URLエンコード

根本的な原因は、URLエンコードされたURLに対する考慮が不足していたことです。新しく導入されたパス正規化関数は、ドットがURLエンコードされているケースを完全には処理できていませんでした。

パストラバーサル攻撃を行うには、../というシーケンスを使ってディレクトリを移動する必要があります。しかし、正規化関数はこれを削除するように設計されています。ではどうすればよいでしょうか？ドット（.）をURLエンコードして.を%2eに変換し、.%2e/のようなシーケンスを使用します。これはApache 2.4.49に対して多くのケースで有効でした。さらに一歩進んで、二重エンコードを行うことも可能です。..%2e/のURLエンコード版は.%252e/となります。これにより、Apacheによる正規化を回避することができました。

ただし、注意点があります

この脆弱性をブラウザから直接悪用しようとしても、成功することはありません。なぜなら、ブラウザもサーバーに送信するURLを正規化しようとするからです。つまり、二重エンコードしたシーケンスであっても削除されてしまうため、ブラウザを使って簡単に実証することはできません。

cURLを使用し、--path-as-isフラグを指定することで、送信前にURLが正規化されるのを防ぎ、実証することが可能です。

予防と緩和策

この問題を完全に防ぐには、Apacheから提供される最新のパッチを常に適用しておくことが重要です。具体的には、少なくともバージョン2.4.51以上にアップグレードしてください。また、定期的なスケジュールでアップグレードを行い、常に最新の状態を保つことが推奨されます。

バージョン2.4.49を使用しており、この問題への緩和策を講じる必要がある場合は、Apacheの設定に以下が含まれていることを確認してください。

また、リモートコード実行を防ぐため、mod_cgi を使用していない場合は無効にしてください。

その影響を実際にご体験ください

何が起きたのかを詳しく調べ、実際に試してみたいとお考えですか？

‍