Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Apache httpd 2.4.48」がリリース - 脆弱性8件を修正

「Apache HTTP Server」の開発チームは、セキュリティアップデートとなる「同2.4.48」を6月1日にリリースした。

脆弱性によって影響を受けるバージョンは異なるが、今回のアップデートでは、あわせて8件の脆弱性に対処した。重要度が4段階中もっとも高い「クリティカル(Critical)」とされる脆弱性は含まれていない。

今回のアップデートにおいて、4段階中2番目に高い「重要(Important)」とされる脆弱性は、「HTTP/2」のプロトコル処理に明らかとなった「CVE-2021-31618」の1件のみ。細工した「HTTP/2」リクエストによって、NULLポインタ参照が生じて子プロセスがクラッシュし、サービス拒否に陥るおそれがある。

重要度「中(Moderate)」とされる脆弱性は3件。「mod_proxy_wstunnel」の処理に起因し、認証をバイパスされるおそれがある「CVE-2019-17567」や、「MergeSlashes」ディレクティブの設定によって意図しないURLと一致する「CVE-2021-30641」、「Windows」において権限のないローカルユーザーによってhttpdを停止できる「CVE-2020-13938」などを修正した。残る4件は、もっとも低い「低(Low)」とレーティングされている。

開発チームでは脆弱性を修正した「同2.4.48」をリリース。セキュリティ機関などもアップデートを呼びかけている。今回修正された脆弱性は以下のとおり。

CVE-2019-17567
CVE-2020-13938
CVE-2020-13950
CVE-2020-35452
CVE-2021-26690
CVE-2021-26691
CVE-2021-30641
CVE-2021-31618

(Security NEXT - 2021/06/14 ) このエントリーをはてなブックマークに追加

PR

関連記事

悪用脆弱性リストに医療データ連携ソフト関連など2件が登録 - 今月5度目の追加
クラウド環境などでログ収集に活用される「Fluent Bit」に脆弱性
ルータやブラウザなど悪用済み脆弱性3件に注意喚起 - 米当局
「Zabbix」のサーバに深刻な脆弱性 - 3月の更新で修正済み
Fortinetの「FortiOS」に複数脆弱性 - 重要度は「中」
「MS Edge」がゼロデイ脆弱性を解消 - 前版ベースに急遽対応
外部アプリより利用する「OpenSSL」の一部関数にDoS脆弱性
「Chrome」にアップデート - 今月3度目のゼロデイ脆弱性修正
Aruba製アクセスポイントに深刻な脆弱性 - アップデートを
悪用脆弱性リストにMS月例パッチで報告された2件を追加 - 米当局