gauge
区分
JVN番号
タイトル
JVN
深刻度
最終更新日
CVE番号
New
JVNDB-2003-000053

Apache HTTP Server のアクセスログ作成時の不備により任意のコードを実行される脆弱性

5.0
2007/04/01 00:00
CVE-2003-0083

JVNDB-2003-000053

Apache HTTP Server のアクセスログ作成時の不備により任意のコードを実行される脆弱性
概要
------------ 本脆弱性情報は、同時期に公開された複数の脆弱性について、まとめて解説したものです。タイトル以外の他の脆弱性情報の内容が含まれていますので予めご了承ください。 ------------ Apache には、アクセスログおよびエラーログを生成する際に、特定のエスケープシーケンスに対して適切なフィルタリングを行わない問題が存在します。 リモートの攻撃者は、意図的な HTTP リクエストを作成し、問題を抱えるサーバに送信することで、アクセスログ、もしくはエラーログに特定のエスケープシーケンスを注入することが可能です。更に、多くのターミナルエミュレータに存在する、エスケープシーケンスを用いた任意の文字列をタイトルバーに表示可能な問題と併用することで、ターミナルエミュレータを利用するユーザの権限で任意のコードを実行できる可能性があります。 尚、このターミナルエミュレータの問題の詳細に関しては CAN-2003-0070 を参照してください。 この 2 つのログファイル生成時における問題は、Apahe 1.3 では、当初 Apache 1.3.25 以降で解消されると報告されていましたが、エラーログファイルの問題 (CAN-2003-0020) に関しては、Apache 1.3.29 以前においても影響を受けることがベンダより報告され、2004 年 5 月 12 日付けでこの問題を修正した Apache 1.3.31 がリリースされています。 尚、アクセスログの問題 (CAN-2003-0083) に関しては、Apache 1.3.26 以降で解消されることがベンダより報告されています。 また、Apahe 2.0 では、当初 Apache 2.0.46 以降で解消されると報告されていましたが、エラーログファイルの問題 (CAN-2003-0020) に関しては、Apache 2.0.48 以前においても "-DAP_UNSAFE_ERROR_LOG_UNESCAPED" オプションをコンパイル時に指定した場合に影響を受けることがベンダより報告され、2004 年 3 月 19 日付けでこの問題を修正した Apache 2.0.49 がリリースされています。 尚、アクセスログの問題 (CAN-2003-0083) に関しては、Apache 2.0.46 以降で解消されています。
想定される影響と対策
本脆弱性に伴う影響については、「概要」をご参照ください。
JVNDB-2003-000053は、ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
JVN情報 ※( )内はCVSS v3の値
深刻度5.0N/A
CVECVE-2003-0083
公表日2003/02/24 00:00
登録日2007/04/01 00:00
更新日2007/04/01 00:00
CVSS v2情報
全ての情報を閲覧するにはユーザー登録(無料)またはログインが必要です。