「Apache httpd 2.4.48」がリリース - 脆弱性8件を修正

「Apache HTTP Server」の開発チームは、セキュリティアップデートとなる「同2.4.48」を6月1日にリリースした。

脆弱性によって影響を受けるバージョンは異なるが、今回のアップデートでは、あわせて8件の脆弱性に対処した。重要度が4段階中もっとも高い「クリティカル（Critical）」とされる脆弱性は含まれていない。

今回のアップデートにおいて、4段階中2番目に高い「重要（Important）」とされる脆弱性は、「HTTP/2」のプロトコル処理に明らかとなった「CVE-2021-31618」の1件のみ。細工した「HTTP/2」リクエストによって、NULLポインタ参照が生じて子プロセスがクラッシュし、サービス拒否に陥るおそれがある。

重要度「中（Moderate）」とされる脆弱性は3件。「mod_proxy_wstunnel」の処理に起因し、認証をバイパスされるおそれがある「CVE-2019-17567」や、「MergeSlashes」ディレクティブの設定によって意図しないURLと一致する「CVE-2021-30641」、「Windows」において権限のないローカルユーザーによってhttpdを停止できる「CVE-2020-13938」などを修正した。残る4件は、もっとも低い「低（Low）」とレーティングされている。

開発チームでは脆弱性を修正した「同2.4.48」をリリース。セキュリティ機関などもアップデートを呼びかけている。今回修正された脆弱性は以下のとおり。

CVE-2019-17567
CVE-2020-13938
CVE-2020-13950
CVE-2020-35452
CVE-2021-26690
CVE-2021-26691
CVE-2021-30641
CVE-2021-31618

（Security NEXT - 2021/06/14 ） ツイート

PR

関連記事

「WinRAR」に脆弱性、過去の問題に類似 - 修正版をリリース
「FortiOS」のLDAP認証バイパス脆弱性、仮想パッチが公開
「FortiOS」に複数脆弱性、SSL-VPNなど影響 - アップデートで修正
HTTP通信ライブラリ「Apache HttpComponents」に複数のDoS脆弱性
ウェブメール「Roundcube」、アップデートで複数脆弱性を修正
「WatchGuard Firebox」のVPN機能に深刻なRCE脆弱性
「PHP」にセキュリティ更新 - 複数の脆弱性を修正
セイコーSOL製IoT向け一部ルータに脆弱性 - 修正予定なし
コンテナ管理ツール「Rancher」に脆弱性 - アップデートを公開
「NVIDIA Container Toolkit」に権限昇格の脆弱性 - 「GPU Operator」も影響