「Apache httpd 2.4.48」がリリース - 脆弱性8件を修正

「Apache HTTP Server」の開発チームは、セキュリティアップデートとなる「同2.4.48」を6月1日にリリースした。

脆弱性によって影響を受けるバージョンは異なるが、今回のアップデートでは、あわせて8件の脆弱性に対処した。重要度が4段階中もっとも高い「クリティカル（Critical）」とされる脆弱性は含まれていない。

今回のアップデートにおいて、4段階中2番目に高い「重要（Important）」とされる脆弱性は、「HTTP/2」のプロトコル処理に明らかとなった「CVE-2021-31618」の1件のみ。細工した「HTTP/2」リクエストによって、NULLポインタ参照が生じて子プロセスがクラッシュし、サービス拒否に陥るおそれがある。

重要度「中（Moderate）」とされる脆弱性は3件。「mod_proxy_wstunnel」の処理に起因し、認証をバイパスされるおそれがある「CVE-2019-17567」や、「MergeSlashes」ディレクティブの設定によって意図しないURLと一致する「CVE-2021-30641」、「Windows」において権限のないローカルユーザーによってhttpdを停止できる「CVE-2020-13938」などを修正した。残る4件は、もっとも低い「低（Low）」とレーティングされている。

開発チームでは脆弱性を修正した「同2.4.48」をリリース。セキュリティ機関などもアップデートを呼びかけている。今回修正された脆弱性は以下のとおり。

CVE-2019-17567
CVE-2020-13938
CVE-2020-13950
CVE-2020-35452
CVE-2021-26690
CVE-2021-26691
CVE-2021-30641
CVE-2021-31618

（Security NEXT - 2021/06/14 ） ツイート

PR

関連記事

「Apache Tomcat」にアップデート - 脆弱性「MadeYouReset」を解消
「HTTP/2」実装に「MadeYouReset」脆弱性 - DoS攻撃のおそれ
「Exchange Server」のハイブリッド構成に深刻な脆弱性 - MSが定例外アドバイザリ
秘密管理ツール「OpenBao」に脆弱性 - 任意のコード実行が可能に
N-ableのIT管理ツールにゼロデイ脆弱性 - 米当局が悪用に注意喚起
Palo Alto、セキュリティアドバイザリ6件を公開
「Spring Framework」に脆弱性 - アップデートで修正
LLMキャッシュ管理ツールにRCE脆弱性 - キャッシュ汚染に起因
プリント管理ソフト「Xerox FreeFlow Core」に深刻な脆弱性
「Amazon EMR」に深刻な脆弱性 - 資格情報漏洩のおそれ