Apacheにメモリ漏洩の脆弱性「Optionsbleed」 - 「Heartbleed」直後に判明するも修正されず

Apache HTTP Serverにおいて、メモリ上のデータが漏洩するおそれがある脆弱性「Optionsbleed」が存在することが明らかになった。2014年より指摘されていた脆弱性だという。

特定環境下において「OPTIONSメソッド」によりアクセスすると、解放後メモリへアクセスし、応答から情報が漏洩するおそれがある「CVE-2017-9798」が判明したもの。重要度は「高（High）」にレーティングされている。

具体的には、「Apache」でディレクトリごとにアクセス制御を行う「.htaccessファイル」へ、HTTPメソッドの全体に登録されていない「Limitディレクティブ」を設定した場合、「OPTIONSメソッド」による要求に対して、応答時の「Allowヘッダ」にサーバプロセスのメモリ情報が漏洩することがあるという。

脆弱性を公表したフリーランスライターのHanno Böck氏は、同脆弱性を「Optionsbleed」と命名。さらに「Heartbleed」の発見後に発表された2014年5月に発表された論文で同脆弱性が言及されていたことも判明。これまで脆弱性として認識されず、修正されてこなかったという。

（Security NEXT - 2017/09/22 ） ツイート

PR

関連記事

「Elastic Cloud Enterprise」に深刻な脆弱性 - アップデートやIoCを公開
バッファロー製NAS用ユーティリティに権限昇格の脆弱性
「7-Zip」のzipファイル処理に脆弱性 - 7月公開の新版で修正済み
認証フレームワーク「Better Auth」に深刻な脆弱性 - 修正版が公開
「Oracle E-Business Suite」に脆弱性 - 今月2度目の定例外アラート
米当局、脆弱性5件の悪用に注意喚起 -10年以上前の「Shellshock」関連も
NoSQLデータベース「Redis」に複数脆弱性 - 「クリティカル」も
IBMのデータ変換プラットフォームに深刻な脆弱性 - 修正版を提供
「Nagios Log Server」に複数脆弱性 - 3月の更新で修正
米当局、「Zimbra」の脆弱性に注意喚起 - 軍関係狙うゼロデイ攻撃も