Błąd w module mod_rewrite serwera Apache pozwala przy określonych regułach pobrać pliki strony z hasłami lub wykonać kod. CISA potwierdza ataki, luka tkwi też w urządzeniach SonicWall SMA. Zaktualizuj Apache co najmniej do 2.4.62.
Ten alert jest dla zarządu, CTO i CFO firm, które mają stronę, sklep lub aplikację na serwerze Apache HTTP Server albo urządzenia z wbudowanym Apache (np. SonicWall SMA 100, NetApp). Werdykt: jeśli Apache ma wersję 2.4.59 lub starszą, zleć w tym tygodniu aktualizację do najnowszego wydania 2.4.x (co najmniej 2.4.62), a u dostawców urządzeń sprawdź wersję z poprawką, bo luka jest masowo wykorzystywana.
Amerykańska agencja CISA 1 maja 2025 roku dopisała podatność CVE-2024-38475 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. CISA dodała rzadką uwagę: luka dotyczy powszechnie używanego składnika, więc stan naprawy trzeba sprawdzać u każdego producenta, który go wbudowuje. Termin naprawy minął 22 maja 2025 roku.
Błąd siedzi w module mod_rewrite, który tłumaczy czytelne adresy stron na pliki na serwerze. Przy regułach przepisywania zaczynających podstawienie od zmiennej lub odwołania do fragmentu adresu da się tak dobrać adres, żeby serwer sięgnął po plik, do którego nie prowadzi żaden normalny adres. Skutkiem może być wykonanie kodu albo ujawnienie kodu źródłowego strony, a w nim haseł do bazy, bramki płatniczej i poczty. Poprawka jest dostępna od 1 lipca 2024 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2024-38475 |
Data dodania do CISA KEV | 2025-05-01 |
Termin naprawy wg CISA | 2025-05-22 (21 dni od wpisu) |
Produkt | Apache HTTP Server, moduł mod_rewrite; także produkty z wbudowanym Apache, m.in. SonicWall SMA 200, 210, 400, 410, 500v oraz NetApp ONTAP 9 |
Wersje zagrożone | Apache 2.4.0 do 2.4.59. Luka działa tylko przy regułach RewriteRule w kontekście serwera, których podstawienie zaczyna się od zmiennej lub odwołania wstecznego. SonicWall SMA 100: oprogramowanie przed 10.2.1.14-75sv |
Wersje bezpieczne | Apache 2.4.60 (1 lipca 2024) i nowsze; 2.4.60 wprowadził inny błąd ujawniania kodu, poprawiony ostatecznie w 2.4.62, więc zalecane jest co najmniej 2.4.62, najlepiej najnowsze wydanie (na stronie projektu: 2.4.68). SonicWall SMA 100: 10.2.1.14-75sv. Inne produkty: wersje wskazane przez ich producentów |
Typ podatności | Niewłaściwe przygotowanie (escaping) danych wyjściowych; CWE-116 (SonicWall klasyfikuje jako przejście po ścieżce) |
Ocena CVSS | NVD: 9.1 KRYTYCZNA (CVSS 3.1, bez wpływu na dostępność). SonicWall: 9.8 (z pełnym wpływem na dostępność). Apache: waga „important”. Atak przez sieć, bez logowania i bez udziału użytkownika |
Wyobraź sobie bibliotekę z katalogiem kartkowym. Czytelnik podaje tytuł, a bibliotekarz według karty idzie do właściwej półki. Część regałów jest w zapleczu: stoją tam dokumenty, których nikt nie miał wypożyczać, ale bibliotekarz ma do nich klucz. Błąd polega na tym, że odpowiednio sformułowana prośba sprawia, że karta „wskazuje” półkę na zapleczu, a bibliotekarz posłusznie przynosi stamtąd teczkę.
Tak działa ta luka. Moduł mod_rewrite zamienia adres wpisany w przeglądarce na konkretny plik. Przy pewnym sposobie zapisu reguł dało się dobrać adres, który prowadził do pliku leżącego w dostępnym dla serwera miejscu, ale nieprzeznaczonego do pokazywania. Najczęściej to pliki źródłowe i konfiguracyjne strony z hasłami. Dwie firmy na tej samej wersji Apache mogą być w innej sytuacji, bo decyduje jedna linijka konfiguracji.
💡 Apache HTTP Server to popularny program, który wysyła strony internetowe do przeglądarek. mod_rewrite to moduł przepisujący adresy, dzięki któremu adresy stron są czytelne. RewriteRule to pojedyncza reguła przepisywania w konfiguracji serwera. UnsafePrefixStat to oznaczenie, którym administrator może świadomie przywrócić stare, niebezpieczne zachowanie reguły.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Klient wchodzi na stronę produktu | Widzi produkt | Widzi produkt |
Spreparowany adres od napastnika | Błąd 404 lub zwykła strona | Plik spoza przewidzianych adresów, np. kod źródłowy |
Plik konfiguracyjny sklepu z hasłami | Niewidoczny z zewnątrz | Może zostać pobrany |
Urządzenie VPN z wbudowanym Apache | Bezpieczne wejście do sieci | Podatne, dopóki producent nie wyda poprawki |
Aktualizacja do 2.4.60+ | Zamyka lukę | Może zepsuć część starych reguł przepisywania |
źródło: Pexels, Tima MiroshnichenkoPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Serwery WWW i urządzenia dostępowe są z definicji widoczne z internetu, atak nie wymaga logowania, a technikę opisał publicznie autor odkrycia (wystąpienie na Black Hat USA 2024), więc skanowanie jest masowe.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie serwerów Apache i urządzeń z wbudowanym Apache | Lista potencjalnych celów |
2. Próba mapowania | T+kilka minut | Spreparowane adresy wykorzystujące podatne reguły przepisywania | Odczyt plików spoza przewidzianych adresów |
3. Kradzież sekretów | T+kilkanaście minut | Pobranie plików źródłowych i konfiguracyjnych | Hasła do bazy, bramki płatniczej, poczty; na urządzeniach możliwe przejęcie sesji |
4. Wykonanie kodu | T+godziny | Wykorzystanie mapowania do uruchomienia skryptu, jeśli konfiguracja na to pozwala | Kontrola nad serwerem lub urządzeniem |
5. Ruch w sieci | T+dni | Z urządzenia dostępowego lub serwera do sieci wewnętrznej | Dostęp do kolejnych systemów |
6. Skutki | T+dni do tygodni | Kradzież danych klientów, nadużycia płatnicze, przygotowanie szantażu | Straty i obowiązki prawne |
Apache działa na ogromnej liczbie serwerów i jest wbudowany w urządzenia, o których nikt nie myśli jako o „serwerze WWW”. Luka nie wymaga logowania, EPSS jest bliski maksimum, a sam numer wersji nie rozstrzyga o podatności. W urządzeniach innych producentów firma nie może jej załatać sama.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wymiana wszystkich sekretów strony, naprawa reguł po aktualizacji, przestój sklepu | Dni | 15 tys. do 150 tys. PLN (praca wykonawcy, przestój sprzedaży) |
Bezpieczeństwo danych | Wyciek kodu źródłowego, haseł, danych klientów; na urządzeniach dostępowych przejęte sesje | Godziny do dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Nadużycia bramki płatniczej, utracona sprzedaż | Tygodnie | 50 tys. do 600 tys. PLN łącznie |
Reputacyjny | Klienci tracą zaufanie do sklepu lub portalu | Miesiące | 50 tys. do 500 tys. PLN (utraceni klienci) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w 72 godziny; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna i zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla Apache ≤ 2.4.59
Wpływ
5 | . . . . .
4 | . . . . ■ ← KRYTYCZNE: podatny wzorzec reguły
3 | . . . . . lub urządzenie SMA 100 bez poprawki
2 | . ■ . . . ← NISKIE: reguły bez podatnego wzorca
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: przy podatnym wzorcu reguł prawdopodobieństwo jest najwyższe (masowe, zautomatyzowane próby, EPSS powyżej 99,9%), a wpływ wysoki, bo wyciek haseł otwiera kolejne systemy; serwer bez takiego wzorca nie jest podatny na ten mechanizm, ale starsza wersja Apache i tak zawiera inne luki, więc aktualizacja pozostaje zasadna.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać serwery z Apache i urządzenia z wbudowanym Apache (SonicWall SMA, NetApp i inne) wraz z wersjami | Dziś | Administrator IT / wykonawca strony |
2 | 🔴 NATYCHMIAST | Na urządzeniach SonicWall SMA 200/210/400/410/500v sprawdzić oprogramowanie i wgrać 10.2.1.14-75sv lub nowsze | Dziś | Administrator sieci |
3 | 🟠 PILNIE | Zaktualizować Apache do co najmniej 2.4.62, najlepiej do najnowszego wydania, najpierw na kopii testowej strony | Do 7 dni | Wykonawca strony / administrator |
4 | 🟠 PILNIE | Na kopii testowej sprawdzić kilkanaście kluczowych adresów, w tym koszyk i płatności | Do 7 dni | Wykonawca strony |
5 | 🟠 PILNIE | Przejrzeć konfigurację pod kątem reguł RewriteRule zaczynających podstawienie od zmiennej lub odwołania wstecznego oraz użycia UnsafePrefixStat | Do 7 dni | Wykonawca strony |
6 | 🟠 PILNIE | Jeśli serwer był podatny: wymienić hasło do bazy, klucze bramki płatniczej i hasła poczty zapisane w plikach strony | Do 14 dni | Wykonawca strony / CTO |
7 | 🟡 WAŻNIE | Uzyskać od dostawców urządzeń pisemnie numer wersji z poprawką CVE-2024-38475 i termin wgrania | Do 30 dni | CTO |
Projekt Apache wydał poprawkę w lipcu 2024 roku. W urządzeniach innych producentów poprawka zależy od nich. Do czasu aktualizacji poniższe miary ograniczają ryzyko; oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Przepisanie podatnych reguł RewriteRule tak, by podstawienie nie zaczynało się od zmiennej lub odwołania wstecznego | Wysoka dla tego mechanizmu | Średnia: wymaga wiedzy o konfiguracji |
Kopia testowa strony do sprawdzania aktualizacji | Nie chroni sama, zapobiega cofaniu zabezpieczeń w pośpiechu | Łatwa, niski koszt miesięczny |
Przeniesienie haseł poza pliki serwowane przez Apache | Średnia: ogranicza skutki wycieku | Średnia |
Ograniczenie dostępu do urządzenia dostępowego do znanych adresów | Średnia: zawęża krąg napastników | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja Apache | 2.4.59 lub starsza | 2.4.62 lub nowsza, najlepiej najnowsza |
Reguły przepisywania | Nieznane od wdrożenia | Przejrzane, bez podatnego wzorca i bez UnsafePrefixStat |
Urządzenia z wbudowanym Apache | Poza zasięgiem uwagi | Spisane, z wersją poprawki od producenta |
Sekrety strony | W plikach, niezmieniane latami | Wymienione i przeniesione |
Proces aktualizacji | Wprost na produkcji | Najpierw kopia testowa |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA) |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.1 KRYTYCZNA (NVD, CVSS 3.1); 9.8 wg SonicWall; Apache: „important” |
PoC dostępny publicznie? | Brak informacji o gotowym narzędziu w źródłach; technikę opisał publicznie odkrywca na Black Hat USA 2024 |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | Orange Tsai (DEVCORE), zgłoszenie do Apache 1 kwietnia 2024 |
Prognoza EPSS | Powyżej 99,9%, praktycznie maksimum skali (wg analizy źródłowej) |
Oceny i nazwy wady różnią się, bo twórca modułu opisuje przyczynę w kodzie, a producent urządzenia skutek w swoim produkcie, gdzie luka pozwala dodatkowo przejąć sesję. To różnica punktu widzenia, nie pomyłka.
Sygnały zagrożenia dla CVE-2024-38475
CVSS 3.1 (NVD) 9.1/10 ██████████████████░░ KRYTYCZNA
CVSS 3.1 (SonicWall) 9.8/10 ████████████████████ KRYTYCZNA
EPSS >99.9% ████████████████████ MAKSIMUM
Wbudowana w urządzenia TAK ████████████████████ SonicWall, NetApp
CISA KEV TAK ████████████████████ ataki potwierdzone 2024-04-01 Orange Tsai (DEVCORE) zgłasza błąd do Apache
2024-07-01 Apache wydaje 2.4.60 z poprawką; publikacja CVE-2024-38475
2024-07-12 NetApp publikuje komunikat NTAP-20240712-0001
2024 Kolejne wydania; problem wprowadzony w 2.4.60 poprawiony ostatecznie w 2.4.62
2024-08 Wystąpienie odkrywcy na Black Hat USA 2024
2025-05-01 CISA dodaje lukę do katalogu KEV
2025-05-22 Termin naprawy wg CISA dla agencji federalnych
2026-09-17: TUTAJ JESTEŚMY Lista podatności i wersji Apache: httpd.apache.org/security/vulnerabilities_24.html . Komunikaty producentów urządzeń: SonicWall SNWLID-2024-0018 , NetApp NTAP-20240712-0001 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2024-38475 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Ustalić, które strony i systemy firmy działają na Apache i jakie urządzenia mają go wbudowanego | CTO | DZISIAJ |
2 | Potwierdzić wersję oprogramowania urządzeń SonicWall SMA, jeśli firma ich używa | CTO | DZISIAJ |
3 | Zatwierdzić aktualizację Apache z testem na kopii strony | CTO | DO JUTRA |
4 | Zlecić przegląd reguł przepisywania i decyzję o wymianie sekretów | CTO | DO JUTRA |
5 | Zatwierdzić budżet na kopię testową strony, jeśli jej nie ma | CFO | DO JUTRA |
6 | Wysłać dostawcom urządzeń pisemne pytanie o wersję z poprawką CVE-2024-38475 | CFO / CTO | DO JUTRA |
7 | Sprawdzić transakcje w bramce płatniczej pod kątem nadużyć | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaką wersję Apache mają nasze serwery? | [wersja] | 🔴 |
2 | Czy konfiguracja zawiera reguły RewriteRule z podstawieniem zaczynającym się od zmiennej lub odwołania wstecznego? | TAK / NIE | 🔴 |
3 | Czy mamy urządzenia z wbudowanym Apache (SonicWall SMA, NetApp, inne) i jakie mają wersje? | [lista], [wersje] | 🔴 |
4 | Czy gdziekolwiek użyto oznaczenia UnsafePrefixStat? | TAK / NIE | 🟠 |
5 | Czy mamy kopię testową strony do sprawdzania aktualizacji? | TAK / NIE | 🟠 |
6 | Gdzie są zapisane hasła do bazy, bramki płatniczej i poczty używane przez stronę? | [miejsce] | 🟠 |
7 | Kiedy ostatnio aktualizowano Apache i kto to robi? | [data], [osoba] | 🟡 |
CVE-2024-38475 w module mod_rewrite serwera Apache pozwala przy określonych regułach przepisywania pobrać pliki spoza przewidzianych adresów, w tym kod źródłowy z hasłami, lub wykonać kod. CISA potwierdza wykorzystanie, a EPSS jest bliski maksimum. Zadanie na ten tydzień: aktualizacja Apache do co najmniej 2.4.62 z testem na kopii strony, przegląd reguł i sprawdzenie u dostawców urządzeń, np. SonicWall SMA 100, czy wgrali swoją poprawkę.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Wykorzystywana przed wydaniem poprawki luka w mechanizmie aktualizacji Windows 11 i Windows Server 2025 pozwala zwykłemu kontu przejąć komputer. Zainstaluj wrześniową aktualizację dziś.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.