Apache 2.4.x< 2.4.25の複数の脆弱性 (httpoxy)

high Web App Scanning プラグイン ID 98910

Language:

概要

説明

バナーによると、リモートホストで実行しているApacheのバージョンは、2.4.25より前の2.4.xです。したがって、次の脆弱性の影響を受けます:

- CBCまたはECBの動作モード (デフォルトではAES256-CBC) で設定された暗号を使用してデータとCookieが暗号化されているため、mod_session_cryptoモジュールに欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、暗号鍵を知らなくてもパディングオラクル攻撃を通じて情報を復号して、秘密情報を漏洩する可能性があります。 (CVE-2016-0736)

- クライアントエントリの割り当て中に、mod_auth_digestモジュールにサービス拒否の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工された入力で共有メモリリソースを枯渇させ、サーバークラッシュを引き起こす可能性があります。 (CVE-2016-2161)

- RFC 3875セクション4.1.18にしたがって名前空間の競合を適切に解決できないため、Apache HTTP Serverは「httpoxy」として知られる中間者の脆弱性の影響を受けます。HTTP_PROXY環境変数が、HTTPリクエストの「Proxy」ヘッダーの信頼できないユーザーデータに基づいて設定されます。HTTP_PROXY環境変数が、リモートプロキシサーバーを指定するために、一部のWebクライアントライブラリにより使用されます。認証されていないリモートの攻撃者がこれを悪用し、HTTP リクエストの細工された「Proxy」ヘッダーを通じて、アプリケーションの内部 HTTP トラフィックを任意のプロキシサーバーにリダイレクトする可能性があります。このプロキシサーバーは、観察または操作が行われる可能性があります。(CVE-2016-5387)

- LimitRequestFieldsディレクティブが不適切に処理されているため、mod_http2モジュールにサービス拒否の脆弱性があります。認証されていないリモートの攻撃者がこれを悪用し、HTTP/2リクエストで特別に細工されたCONTINUATIONフレームを介して無制限のリクエストヘッダーをサーバーに挿入し、メモリリソースを枯渇させる可能性があります。 (CVE-2016-8740)

- ユーザーエージェントヘッダーの空白パターンが不適切に処理されているため、欠陥があります。認証されていないリモートの攻撃者がこれを悪用し、特別に細工されたユーザーエージェントヘッダーを使用してプログラムに誤ってリクエストシーケンスを処理させ、誤って応答を解釈させたり、キャッシュを汚染させたり、あるリクエストからのコンテンツを次の下流ユーザーエージェントに漏洩させたりする可能性があります。 (CVE-2016-8743)

- mod_userdir モジュールに CRLF 脆弱性が存在します。認証されていないリモートの攻撃者が、これを悪用して HTTP 応答分割攻撃を実行する可能性があります。(CVE-2016-4975)

スキャナーはこれらの問題のテストを行っておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ソリューション

Apacheバージョン2.4.25以降にアップグレードしてください。「httpoxy」脆弱性はベンダーアドバイザリasf-httpoxy-response.txtに記載されている回避策やパッチを適用することで軽減する可能性があります。さらに、その他の脆弱性を緩和するため、影響を受けるモジュール (mod_session_crypto、mod_auth_digest、mod_http2) が使用されていないことを確認してください。