Apacheにメモリ漏洩の脆弱性「Optionsbleed」 - 「Heartbleed」直後に判明するも修正されず

Apache HTTP Serverにおいて、メモリ上のデータが漏洩するおそれがある脆弱性「Optionsbleed」が存在することが明らかになった。2014年より指摘されていた脆弱性だという。

特定環境下において「OPTIONSメソッド」によりアクセスすると、解放後メモリへアクセスし、応答から情報が漏洩するおそれがある「CVE-2017-9798」が判明したもの。重要度は「高（High）」にレーティングされている。

具体的には、「Apache」でディレクトリごとにアクセス制御を行う「.htaccessファイル」へ、HTTPメソッドの全体に登録されていない「Limitディレクティブ」を設定した場合、「OPTIONSメソッド」による要求に対して、応答時の「Allowヘッダ」にサーバプロセスのメモリ情報が漏洩することがあるという。

脆弱性を公表したフリーランスライターのHanno Böck氏は、同脆弱性を「Optionsbleed」と命名。さらに「Heartbleed」の発見後に発表された2014年5月に発表された論文で同脆弱性が言及されていたことも判明。これまで脆弱性として認識されず、修正されてこなかったという。

（Security NEXT - 2017/09/22 ） ツイート

PR

関連記事

Google、「Windows 10」のゼロデイ脆弱性を公開 - セキュリティ機能をバイパス
「Flash Player」狙いのゼロデイ攻撃、3カ月前から準備か - 給与関連書類を偽装、C＆Cは偽求人サイト
対「Struts 2」の脆弱性攻撃が発生、目的はマイニング - さらなる悪用増加に要警戒
シューズ通販ショップに不正アクセス - クレカ情報流出の可能性
Apple、「iOS 13.4」「iPadOS 13.4」をリリース
ゼロデイ脆弱性、攻撃対象は「Windows 7」 - 「Windows 10」への影響は限定的
「Adobe Creative Cloud」に深刻な脆弱性 - 定例外アップデートが公開
「Windows」に脆弱性、すでにゼロデイ攻撃も - 回避策などの実施を
「PHP」にセキュリティアップデート - 複数脆弱性を修正
「Drupal」にアップデート - サードパーティ製エディタに起因する脆弱性を解消