「Apache HTTPD」がアップデート - 一部脆弱性はすでに悪用済み

ウェブサーバ「Apache HTTP Server」の開発チームは、最新版となる「同2.4.50」をリリースした。機能の強化やバグフィックスにくわえて、脆弱性の修正を実施している。

今回脆弱性に関してはCVEベースで2件に対処しており、NULLポインタ参照の脆弱性「CVE-2021-41524」や、パストラバーサルによりファイルが漏洩するおそれがある「CVE-2021-41773」を修正した。

「CVE-2021-41773」は、「同2.4.49」で導入されたパスの正規化処理に起因する脆弱性。9月29日に報告を受けたという。ドキュメントルート外のファイルにおいて、明示的にアクセス拒否を設定していないと漏洩するおそれがある。影響を受けるのは同バージョンのみだが、すでに悪用も確認されているという。

一方「CVE-2021-41524」は、「HTTP/2」の処理において細工したリクエストによりサービス拒否に陥るおそれがある脆弱性。ファジングにより判明したもので、悪用などは確認されていないという。

開発チームは、利用者に対して最新版の「同2.4.50」へアップデートするよう求めた。また「同2.2」系については、すでにサポートが終了していることをあらためてアナウンスし、「同2.4」系へ移行するよう呼びかけている。

（Security NEXT - 2021/10/06 ）ツイート

「Apache HTTPD」がアップデート - 一部脆弱性はすでに悪用済み

関連リンク

PR

関連記事