「Apache HTTPD」がアップデート - 一部脆弱性はすでに悪用済み

ウェブサーバ「Apache HTTP Server」の開発チームは、最新版となる「同2.4.50」をリリースした。機能の強化やバグフィックスにくわえて、脆弱性の修正を実施している。

今回脆弱性に関してはCVEベースで2件に対処しており、NULLポインタ参照の脆弱性「CVE-2021-41524」や、パストラバーサルによりファイルが漏洩するおそれがある「CVE-2021-41773」を修正した。

「CVE-2021-41773」は、「同2.4.49」で導入されたパスの正規化処理に起因する脆弱性。9月29日に報告を受けたという。ドキュメントルート外のファイルにおいて、明示的にアクセス拒否を設定していないと漏洩するおそれがある。影響を受けるのは同バージョンのみだが、すでに悪用も確認されているという。

一方「CVE-2021-41524」は、「HTTP/2」の処理において細工したリクエストによりサービス拒否に陥るおそれがある脆弱性。ファジングにより判明したもので、悪用などは確認されていないという。

開発チームは、利用者に対して最新版の「同2.4.50」へアップデートするよう求めた。また「同2.2」系については、すでにサポートが終了していることをあらためてアナウンスし、「同2.4」系へ移行するよう呼びかけている。

（Security NEXT - 2021/10/06 ） ツイート

PR

関連記事

「Splunk」向けのAI拡張ツールに複数の脆弱性
「Cisco ISE」にRCE脆弱性 - 端末の接続に影響するおそれも
「Chrome」が脆弱性33件を修正 - 「クリティカル」7件
「Cortex XSOAR」「XSIAM」向け「CommvaultSecurityIQ」連携に脆弱性
「Langflow」にRCE脆弱性 - フロー共有環境に影響
「Joomla」向け編集ツール「JCE」、脆弱性悪用に注意
「MariaDB」に複数脆弱性 - アップデートで修正
「Firefox」にアップデート - 脆弱性40件を修正
脆弱性の悪用カタログに2件をあらたに追加 - 米当局
「Cisco Catalyst SD-WAN Manager」に脆弱性 - 侵害有無の確認を