CVE-2021-40438
Apache HTTP Server-Side Request Forgery (SSRF)
Beschreibung
CVE-2021-40438 ist eine Server-Side-Request-Forgery-Schwachstelle im Modul mod_proxy des Apache HTTP Server: Ein manipulierter Request-URI-Pfad bewirkt, dass mod_proxy die Anfrage an einen vom entfernten Benutzer gewählten Origin-Server weiterleitet und nicht an den in der Konfiguration vorgesehenen. Betroffen sind Apache HTTP Server 2.4.48 und älter, und weil mod_proxy in Reverse-Proxy- und Load-Balancer-Installationen allgegenwärtig ist, verwandelt der Fehler einen Frontend-Webserver in ein Relais zu internen Diensten, die niemals exponiert sein sollten. Die Bewertung liegt bei CVSS 9.0 (Kritisch) mit geändertem Scope; der EPSS-Wert von CVE-2021-40438 beträgt 99,999 % — praktisch das Maximum der Skala —, und der CISA-KEV-Eintrag verzeichnet inzwischen den bekannten Einsatz in Ransomware-Kampagnen, eine Verschärfung gegenüber dem früheren Stand. Die KEV-Behebungsfrist war der 15.12.2021; jedes System mit betroffenem Build ist damit seit Jahren überfällig, während die Ausnutzungswahrscheinlichkeit durchgehend am Anschlag liegt.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| resf | rocky linux | 8.0 |
| redhat | enterprise linux | 8.0 |
| redhat | enterprise linux eus | 8.1; 8.2; 8.4; 8.6; 8.8 |
| redhat | enterprise linux for arm 64 | 8.0 |
| redhat | enterprise linux for arm 64 eus | 8.6; 8.8 |
| redhat | enterprise linux for ibm z systems | 7.0_s390x; 8.0 |
| redhat | enterprise linux for ibm z systems eus | 8.1; 8.4; 8.8 |
| redhat | enterprise linux for ibm z systems eus s390x | 8.2 |
| redhat | enterprise linux for power big endian | 7.0 |
| redhat | enterprise linux for power little endian | 7.0; 8.0 |
| redhat | enterprise linux for power little endian eus | 8.1; 8.2; 8.4; 8.6; 8.8 |
| redhat | enterprise linux for scientific computing | 7.0 |
| redhat | enterprise linux server | 7.0 |
| redhat | enterprise linux server aus | 7.2; 7.3; 7.4; 7.6; 7.7; 8.2; 8.4; 8.6 |
| redhat | enterprise linux server for power little endian update services for sap solutions | 7.6; 7.7; 8.1; 8.2; 8.4; 8.6; 8.8 |
| redhat | enterprise linux server tus | 7.6; 7.7; 8.2; 8.4; 8.6; 8.8 |
| redhat | enterprise linux server update services for sap solutions | 7.6; 7.7 |
| redhat | enterprise linux update services for sap solutions | 8.1; 8.2; 8.4; 8.6; 8.8 |
| redhat | enterprise linux workstation | 7.0 |
| redhat | jboss core services | 1.0 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H
Referenzen
- https://cert-portal.siemens.com/productcert/pdf/ssa-685781.pdf(Third Party Advisory)
- https://httpd.apache.org/security/vulnerabilities_24.html(Release Notes, Vendor Advisory)
- https://lists.apache.org/thread.html/r210807d0bb55f4aa6fbe1512be6bcc4dacd64e84940429fba329967a%40%3Cusers.httpd.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/r2eb200ac1340f69aa22af61ab34780c531d110437910cb9c0ece3b37%40%3Cbugs.httpd.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/r3925e167d5eb1c75def3750c155d753064e1d34a143028bb32910432%40%3Cusers.httpd.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/r61fdbfc26ab170f4e6492ef3bd5197c20b862ce156e9d5a54d4b899c%40%3Cusers.httpd.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/r82838efc5fa6fc4c73986399c9b71573589f78b31846aff5bd9b1697%40%3Cusers.httpd.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/r82c077663f9759c7df5a6656f925b3ee4f55fcd33c889ba7cd687029%40%3Cusers.httpd.apache.org%3E(Mailing List)
- https://lists.apache.org/thread.html/rf6954e60b1c8e480678ce3d02f61b8a788997785652e9557a3265c00%40%3Cusers.httpd.apache.org%3E(Mailing List)
- https://lists.debian.org/debian-lts-announce/2021/10/msg00001.html(Mailing List, Third Party Advisory)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SPBR6WUYBJNACHKE65SPL7TJOHX7RHWD/(Release Notes)
- https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ZNCYSR3BXT36FFF4XTCPL3HDQK4VP45R/(Release Notes)
- https://security.gentoo.org/glsa/202208-20(Third Party Advisory)
- https://security.netapp.com/advisory/ntap-20211008-0004/(Third Party Advisory)
- https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-apache-httpd-2.4.49-VWL69sWQ(Broken Link, Third Party Advisory)
- https://www.debian.org/security/2021/dsa-4982(Mailing List, Third Party Advisory)
- https://www.oracle.com/security-alerts/cpuapr2022.html(Patch, Third Party Advisory)
- https://www.oracle.com/security-alerts/cpujan2022.html(Patch, Third Party Advisory)
- https://www.tenable.com/security/tns-2021-17(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-40438(US Government Resource)
Schwachstellentyp
CWE-918: Server-Side Request Forgery (SSRF)
Server-Side Request Forgery tritt auf, wenn eine Anwendung eine entfernte Ressource abruft, ohne das benutzerseitig angegebene Ziel zu validieren, sodass ein Angreifer den Server dazu zwingen kann, Anfragen an ein unbeabsichtigtes Ziel zu senden — selbst wenn Firewall, VPN oder Access Control List dazwischenstehen. Im Apache HTTP Server lenkt der manipulierte URI-Pfad mod_proxy zu einem vom Angreifer gewählten Origin, der Proxy führt die Anfrage also von seiner eigenen vertrauenswürdigen Netzposition aus — genau das Primitiv, mit dem interne Dienste, Cloud-Metadaten-Endpunkte und interne APIs erreicht werden, die von außen unerreichbar sind.
Mehr erfahren: CWE-918 — Server-Side Request Forgery (SSRF)
Auswirkungsanalyse
CVE-2021-40438 hat einen CVSS-3.1-Basiswert von 9.0 (Kritisch): aus der Ferne ohne physischen Zugriff ausnutzbar, ohne Authentifizierung und ohne Benutzerinteraktion, mit hoher Angriffskomplexität, weil die Anfrage gegen eine Proxy-Konfiguration konstruiert sein muss, die den verwundbaren Codepfad erreicht. Entscheidend ist der geänderte Scope — eine SSRF in einem Reverse Proxy betrifft konstruktionsbedingt Ressourcen jenseits der verwundbaren Komponente. Vertraulichkeit (Hoch): Der Angreifer liest Antworten interner Systeme, die der Proxy erreichen kann, häufig also Admin-Schnittstellen, interne APIs und Cloud-Metadatendienste, die Zugangsdaten ausgeben. Integrität (Hoch): Über den Proxy gefälschte Anfragen können auf diesen internen Systemen zustandsändernde Aktionen ausführen, da sie von einer vertrauenswürdigen Quelladresse kommen. Verfügbarkeit (Hoch): Der Proxy lässt sich so auf interne Endpunkte richten, dass Ressourcen erschöpft oder Backend-Dienste gestört werden. Der EPSS-Wert von 99,999 % bedeutet, dass Ausnutzung keine Wahrscheinlichkeit, sondern eine laufende Gewissheit ist, und das KEV-Ransomware-Kennzeichen belegt, dass diese SSRF in Erpressungskampagnen als Zugangsvektor und nicht nur zur Aufklärung genutzt wird. Weil die betroffene Komponente am Netzübergang mit Routen ins interne Netz sitzt, ist eine ungepatchte Apache-Instanz eine der folgenreichsten Exponierungen, die ein Perimeter tragen kann.
Exploit-Reifegrad
CVE-2021-40438 liegt am absoluten Ende der Ausnutzungsskala: Der EPSS-Wert beträgt 99,999 % im 99,997. Perzentil, was auf gewisse, kontinuierliche Ausnutzung und nicht auf eine Prognose hindeutet, und der CISA-KEV-Eintrag — mit Frist 15.12.2021 — kennzeichnet die Schwachstelle inzwischen als bekannt aus Ransomware-Kampagnen, eine Änderung gegenüber dem früheren Stand. In den verfügbaren Quellen sind keine als Exploit gekennzeichneten Referenzen enthalten; vorhanden sind die Seite zu Apache-HTTP-Server-Schwachstellen, mehrere Threads der Apache-Users- und -Bugs-Mailinglisten, die Debian-LTS-Ankündigung und Siemens SSA-685781. Für eine Schwachstelle dieses Alters ist das ohne Bedeutung, denn die Technik ist seit Jahren öffentlich und automatisiert. Die praktische Einschätzung ist eindeutig: Dies ist eine der am zuverlässigsten ausgenutzten Webserver-Schwachstellen im Umlauf, sie wird in Ransomware-Operationen zum Zugang genutzt, und jeder Apache HTTP Server auf 2.4.48 oder älter — einschließlich in Appliances und Herstellerprodukten eingebetteter Instanzen — muss sofort gepatcht und anschließend auf Spuren einer Nutzung untersucht werden.
Behebung
- Befolgen Sie die von CISA im KEV-Katalog geforderte Maßnahme: Updates gemäß Herstelleranweisungen einspielen. Die Frist vom 15.12.2021 ist längst verstrichen, die Behebung auf jedem betroffenen System ist damit erheblich überfällig.
- Aktualisieren Sie den Apache HTTP Server auf ein Release neuer als 2.4.48, wie auf der Seite zu Schwachstellen in Apache HTTP Server 2.4 dokumentiert. Stammt der Server aus einer Distribution, installieren Sie das gepatchte Herstellerpaket statt aus dem Quellcode zu bauen: Der betroffene Bestand umfasst Red Hat Enterprise Linux 7 und 8 samt EUS-, AUS-, TUS- und SAP-Varianten für x86, Arm 64, IBM Z und Power, Rocky Linux 8.0 sowie Red Hat JBoss Core Services 1.0; der zugehörige Debian-Fix ist in der Debian-LTS-Ankündigung veröffentlicht.
- Für Industrie- und Embedded-Produkte, die den Apache HTTP Server mitbringen, folgen Sie den Hinweisen des jeweiligen Herstellers — Siemens dokumentiert betroffene Produkte und Fixes in SSA-685781 —, da diese Systeme oft in einem eigenen Release-Zyklus abseits des Betriebssystems gepatcht werden.
- Verringern Sie die SSRF-Reichweite, bis jeder Proxy gepatcht ist: ausgehende Verbindungen der Proxy-Schicht per Egress-Filtering so beschränken, dass nur die legitim bedienten Backends erreichbar sind, den Zugriff auf Cloud-Metadaten-Adressen wie 169.254.169.254 vom Proxy-Host aus sperren und
ProxyPass- sowieRewriteRule-Konfigurationen auf Muster prüfen, bei denen ein benutzerbeeinflusster Pfad das Upstream-Ziel bestimmt. - Patchen Sie angesichts des Ransomware-Bezugs nicht nur, sondern suchen Sie auch: Apache-Access-Logs auf ungewöhnliche URI-Pfade an Proxy-Endpunkten und auf weitergeleitete Anfragen an unerwartete Upstream-Hosts prüfen, Logs interner Dienste auf Anfragen von der Proxy-Adresse kontrollieren, die kein legitimer Ablauf erklärt, alle Zugangsdaten rotieren, die über interne Endpunkte oder Metadatendienste abrufbar gewesen sein könnten, und die Wiederherstellbarkeit von Offline-Backups bestätigen. Zur langfristigen Härtung gegen CWE-918: jedes benutzerseitig angegebene Ziel validieren und per Allowlist begrenzen, nur benötigte URL-Schemata zulassen und Anfragen an private sowie Link-Local-IP-Bereiche blockieren.
Technische Details
Der Fehler in CVE-2021-40438 besteht darin, dass mod_proxy das Upstream-Ziel aus einem Request-URI-Pfad ableitet, den ein entfernter Benutzer manipulieren kann: Statt an den konfigurierten Origin-Server weiterzuleiten, leitet der Proxy an einen vom Angreifer gewählten weiter (CWE-918). Der Proxy führt die Anfrage anschließend mit seiner eigenen Netzidentität aus, und genau das macht SSRF wertvoll — die Anfrage entsteht innerhalb der Vertrauensgrenze und umgeht damit die Firewall-Regeln, die VPN-Segmentierung und die Access Control Lists, die dieselbe Anfrage von außen blockieren würden. Der Vektor CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H erklärt den Wert 9.0: Zustellung über das Netzwerk (AV:N), ohne Rechte (PR:N) und ohne Benutzerinteraktion (UI:N), wobei AC:H widerspiegelt, dass eine geeignete Proxy-Konfiguration und ein passend geformter URI-Pfad nötig sind, und S:C festhält, dass die Auswirkung andere Systeme als den Webserver selbst trifft. Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils mit „Hoch" bewertet, weil ein SSRF-Primitiv gegen interne Dienste je nach Reichweite des Proxys Daten lesen, Aktionen auslösen und Backends stören kann. Apache HTTP Server 2.4.48 und alle älteren Releases enthalten den Fehler, der über zahlreiche Hersteller-Rebuilds und Appliances weiterwirkt.
Häufig gestellte Fragen
Wird CVE-2021-40438 aktiv ausgenutzt?
Ja, und die Lücke wird in Ransomware-Kampagnen eingesetzt. CVE-2021-40438 steht mit Behebungsfrist 15.12.2021 im CISA-Katalog der Known Exploited Vulnerabilities, und der KEV-Eintrag verzeichnet inzwischen den bekannten Ransomware-Einsatz. Der EPSS-Wert von 99,999 % liegt im 99,997. Perzentil und damit praktisch am Maximum, was auf kontinuierliche Ausnutzungsaktivität im gesamten Internet hindeutet.
Welche Produkte sind von CVE-2021-40438 betroffen?
Betroffen ist der Apache HTTP Server 2.4.48 und alle älteren Versionen über das Modul mod_proxy. Da Distributionen und Hersteller Apache mitliefern, umfasst der betroffene Bestand außerdem Red Hat Enterprise Linux 7 und 8 mit den EUS-, AUS-, TUS- und SAP-Update-Streams für x86, Arm 64, IBM Z und Power, Rocky Linux 8.0, Red Hat JBoss Core Services 1.0 sowie Siemens-Produkte, die den Webserver einbetten.
Wie behebe ich CVE-2021-40438?
Aktualisieren Sie den Apache HTTP Server auf ein Release neuer als 2.4.48 oder installieren Sie das gepatchte Paket Ihrer Distribution beziehungsweise Ihres Appliance-Herstellers, gemäß der Schwachstellenseite zu Apache HTTP Server 2.4 und, für Siemens-Produkte, dem Advisory SSA-685781. Bis alle Proxys gepatcht sind, sollten Sie Egress-Filtering auf der Proxy-Schicht anwenden, den Zugriff auf Cloud-Metadaten-Adressen sperren und Proxy-Konfigurationen prüfen, in denen ein benutzerbeeinflusster Pfad das Upstream-Ziel bestimmen kann.
Wie schwerwiegend ist CVE-2021-40438?
CVE-2021-40438 ist mit einem CVSS-3.1-Basiswert von 9.0 als Kritisch eingestuft: nicht authentifiziert und aus der Ferne nutzbar, mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit sowie geändertem Scope, weil die SSRF Systeme hinter dem Proxy und nicht allein den Webserver betrifft. Mit einem EPSS-Wert von praktisch 100 % und einem KEV-Ransomware-Kennzeichen ist die reale Schwere für eine Perimeter-Komponente so hoch, wie sie überhaupt sein kann.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.