「Apache httpd 2.4.48」がリリース - 脆弱性8件を修正

「Apache HTTP Server」の開発チームは、セキュリティアップデートとなる「同2.4.48」を6月1日にリリースした。

脆弱性によって影響を受けるバージョンは異なるが、今回のアップデートでは、あわせて8件の脆弱性に対処した。重要度が4段階中もっとも高い「クリティカル（Critical）」とされる脆弱性は含まれていない。

今回のアップデートにおいて、4段階中2番目に高い「重要（Important）」とされる脆弱性は、「HTTP/2」のプロトコル処理に明らかとなった「CVE-2021-31618」の1件のみ。細工した「HTTP/2」リクエストによって、NULLポインタ参照が生じて子プロセスがクラッシュし、サービス拒否に陥るおそれがある。

重要度「中（Moderate）」とされる脆弱性は3件。「mod_proxy_wstunnel」の処理に起因し、認証をバイパスされるおそれがある「CVE-2019-17567」や、「MergeSlashes」ディレクティブの設定によって意図しないURLと一致する「CVE-2021-30641」、「Windows」において権限のないローカルユーザーによってhttpdを停止できる「CVE-2020-13938」などを修正した。残る4件は、もっとも低い「低（Low）」とレーティングされている。

開発チームでは脆弱性を修正した「同2.4.48」をリリース。セキュリティ機関などもアップデートを呼びかけている。今回修正された脆弱性は以下のとおり。

CVE-2019-17567
CVE-2020-13938
CVE-2020-13950
CVE-2020-35452
CVE-2021-26690
CVE-2021-26691
CVE-2021-30641
CVE-2021-31618

（Security NEXT - 2021/06/14 ）ツイート

「Apache httpd 2.4.48」がリリース - 脆弱性8件を修正

関連リンク

PR

関連記事