Apacheの脆弱性情報(Important: CVE-2020-9490, Moderate: CVE-2020-11984, CVE-2020-11993, Low: CVE-2020-11985)

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

08/07/2020にApacheの脆弱性情報(Important: CVE-2020-9490, Moderate: CVE-2020-11984, CVE-2020-11993, Low: CVE-2020-11985)が公開されています。今回はこれらの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。


2020/08/19 11:30更新:RedHat, SUSEの情報を更新しました。

2020/08/19 20:30更新:CVE-2020-11985の情報を追加しました。@kazematsu様、有難うございました。


[過去の関連リンク(最新5件)]

Apacheの脆弱性情報(Low: CVE-2020-1927, CVE-2020-1934)

Apach HTTP Serverの複数の脆弱性情報(Important: CVE-2019-0211, CVE-2019-0217, CVE-2019-0215, Low: CVE-2019-0197, CVE-2019-0196, CVE-2019-0220)

Apach HTTP Server の脆弱性情報(Important: (mod_ssl) CVE-2019-0190 , Low: (mod_session_cookie) CVE-2018-17199, (mod_http2) CVE-2018-17189 )

Apacheの脆弱性情報(Low: CVE-2019-11763)

Apache及びモジュールの複数の脆弱性(CVE-2019-1333, CVE-2019-8011)

Apache HTTP Serverに複数の脆弱性(CVE-2017-15710,CVE-2017-15715,CVE-2019-1283,CVE-2019-1301,CVE-2019-1302,CVE-2019-1303,CVE-2019-1312) — | サイオスOSS | サイオステクノロジー

Apache httpd に複数の脆弱性 ( CVE-2017-9788, CVE-2017-9789 ) — | サイオスOSS | サイオステクノロジー


Priority

CVE番号 影響するバージョン Priority CVSS Score / CVSS Vector
CVE-2020-9490 2.4.43, 2.4.39, 2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33, 2.4.30, 2.4.29, 2.4.28, 2.4.27, 2.4.26, 2.4.25, 2.4.23, 2.4.20

Vendor: Important

Red Hat: CVSS 7.5 Important/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

CVE-2020-11984 2.4.39, 2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33

Vendor: Moderate

Red Hat: CVSS 9.8 MEDIUM/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVE-2020-11993 2.4.43, 2.4.39, 2.4.38, 2.4.37, 2.4.35, 2.4.34, 2.4.33, 2.4.30, 2.4.29, 2.4.28, 2.4.27, 2.4.26, 2.4.25, 2.4.23, 2.4.20

Vendor: Moderate

Red Hat: CVSS 7.5 MEDIUM/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

CVE-2020-11985 2.4.23, 2.4.20, 2.4.18, 2.4.17, 2.4.16, 2.4.12, 2.4.10, 2.4.9, 2.4.7, 2.4.6, 2.4.4, 2.4.3, 2.4.2, 2.4.1

Vendor: low

Red Hat: CVSS 5.3 MEDIUM/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-9490
    • HTTP/2 PUSHによるクラッシュ
    • 'Cache-Digest'ヘッダに対して特別に細工された値を用いたHTTP/2リクエストにより、サーバがHTTP/2 PUSHをリソースに対して試みた際にクラッシュを発生させる事が出来ます。

      "HTPush off"を設定することで、パッチの当たっていないサーバでも脆弱性を緩和することが出来ます。
  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11984
    • mod_proxy_uwsgiによる情報漏えいとリモートコード実行の可能性
    • mod_proxy_uwsgiに問題があり、情報の漏洩とリモートコード実行の可能があります。
  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11993
    • メモリプールの同時使用
    • HTTP/2モジュールでtrace/debugが有効になっている際に、特定のトラフィックパターンによりlogging statementが誤った接続を行い、メモリプールの同時使用につながります。
  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11985
    • mod_remoteipとmod_rewriteをProxyに使用した際のIPアドレススプーフィングの可能性
    • 特定のmod_rewriteとmod_remoteipを用いてProxyとして使用した際に、攻撃者はPHPスクリプトとログのIPアドレスをなりすます事ができる可能性があります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteKatello、Spacewalk等を使うと管理が便利でしょう。


セキュリティ系連載案内

セミナー情報1

コンピュータセキュリティシンポジウム(CSS)2020併設のワークショップ、 OSSセキュリティ技術ワークショップ(OWS) 2020の企画講演セッション及び、 一般論文セッションの発表募集をさせていただきます。

今年度はオンラインでの開催となります。奮ってのご投稿、お待ちしております。

https://www.iwsec.org/ows/2020/


OSSに関するお困りごとは サイオス OSSよろず相談室まで

サイオスOSSよろず相談室 では、OSSを利用する中で発生する問題に対し、長年培ってきた技術力・サポート力をもって企業のOSS活用を強力に支援します。Red Hat Enterprise Linux のほか、CentOS をご利用されている環境でのサポートも提供いたします。

前へ

複数のgrub2 と関連するLinux Kernel の脆弱性 (BootHole (CVE-2020-10713, etc.))

次へ

Thinkpad X13(AMD Ryzen)にDebianを入れた話(備忘録)