Apacheにメモリ漏洩の脆弱性「Optionsbleed」 - 「Heartbleed」直後に判明するも修正されず

Apache HTTP Serverにおいて、メモリ上のデータが漏洩するおそれがある脆弱性「Optionsbleed」が存在することが明らかになった。2014年より指摘されていた脆弱性だという。

特定環境下において「OPTIONSメソッド」によりアクセスすると、解放後メモリへアクセスし、応答から情報が漏洩するおそれがある「CVE-2017-9798」が判明したもの。重要度は「高（High）」にレーティングされている。

具体的には、「Apache」でディレクトリごとにアクセス制御を行う「.htaccessファイル」へ、HTTPメソッドの全体に登録されていない「Limitディレクティブ」を設定した場合、「OPTIONSメソッド」による要求に対して、応答時の「Allowヘッダ」にサーバプロセスのメモリ情報が漏洩することがあるという。

脆弱性を公表したフリーランスライターのHanno Böck氏は、同脆弱性を「Optionsbleed」と命名。さらに「Heartbleed」の発見後に発表された2014年5月に発表された論文で同脆弱性が言及されていたことも判明。これまで脆弱性として認識されず、修正されてこなかったという。

（Security NEXT - 2017/09/22 ） ツイート

PR

関連記事

「FortiBleed」に国内組織の情報も - 影響調査など実施を
DB管理ツール「pgAdmin 4」に脆弱性 - 3件が「クリティカル」
Synology製NAS向けのメールサーバアドオンに深刻な脆弱性
「OpenDJ」にクリティカル脆弱性 - アップデートで修正
「Node.js」に12件の脆弱性 - 修正版を公開
ID管理基盤「OpenAM」にアップデート - 多数の脆弱性を修正
UbiquitiやLantronix製品の脆弱性悪用に注意喚起 - 米当局
「Chrome」に「クリティカル」4件を含む脆弱性修正アップデート
Cisco、7月1日の脆弱性修正を事前予告 - 「Catalyst Center」など対象
シンクライアント管理製品「Dell WMS」に深刻な脆弱性