Apacheにメモリ漏洩の脆弱性「Optionsbleed」 - 「Heartbleed」直後に判明するも修正されず

Apache HTTP Serverにおいて、メモリ上のデータが漏洩するおそれがある脆弱性「Optionsbleed」が存在することが明らかになった。2014年より指摘されていた脆弱性だという。

特定環境下において「OPTIONSメソッド」によりアクセスすると、解放後メモリへアクセスし、応答から情報が漏洩するおそれがある「CVE-2017-9798」が判明したもの。重要度は「高（High）」にレーティングされている。

具体的には、「Apache」でディレクトリごとにアクセス制御を行う「.htaccessファイル」へ、HTTPメソッドの全体に登録されていない「Limitディレクティブ」を設定した場合、「OPTIONSメソッド」による要求に対して、応答時の「Allowヘッダ」にサーバプロセスのメモリ情報が漏洩することがあるという。

脆弱性を公表したフリーランスライターのHanno Böck氏は、同脆弱性を「Optionsbleed」と命名。さらに「Heartbleed」の発見後に発表された2014年5月に発表された論文で同脆弱性が言及されていたことも判明。これまで脆弱性として認識されず、修正されてこなかったという。

（Security NEXT - 2017/09/22 ） ツイート

PR

関連記事

「Linux」や「FreeBSD」に脆弱性 - リモートよりDoS攻撃受けるおそれ
「VAIO」向けアップデートソフトに複数の脆弱性
リモートデスクトップ狙うアクセスが増加 - 広範囲のポートに探索行為
「Apache Tomcat」にリソース枯渇のおそれ - アップデートで修正
Apple、「AirMac」向けファームウェアを公開 - 脆弱性8件に対処
「Firefox」がわずか2日で再度アップデート - サンドボックス回避の脆弱性を修正
ゼロデイ攻撃発生中の脆弱性へ対処した「Firefox 67.0.3」がリリース
Android向け「Outlook」にXSS攻撃が可能となる脆弱性
「BIND 9」にリモートより悪用可能な脆弱性 - アップデートが公開
「WebLogic」に深刻な脆弱性、リモートよりコード実行のおそれ - 4月の修正とは異なる脆弱性