Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Apache HTTPD」がアップデート - 一部脆弱性はすでに悪用済み

ウェブサーバ「Apache HTTP Server」の開発チームは、最新版となる「同2.4.50」をリリースした。機能の強化やバグフィックスにくわえて、脆弱性の修正を実施している。

今回脆弱性に関してはCVEベースで2件に対処しており、NULLポインタ参照の脆弱性「CVE-2021-41524」や、パストラバーサルによりファイルが漏洩するおそれがある「CVE-2021-41773」を修正した。

「CVE-2021-41773」は、「同2.4.49」で導入されたパスの正規化処理に起因する脆弱性。9月29日に報告を受けたという。ドキュメントルート外のファイルにおいて、明示的にアクセス拒否を設定していないと漏洩するおそれがある。影響を受けるのは同バージョンのみだが、すでに悪用も確認されているという。

一方「CVE-2021-41524」は、「HTTP/2」の処理において細工したリクエストによりサービス拒否に陥るおそれがある脆弱性。ファジングにより判明したもので、悪用などは確認されていないという。

開発チームは、利用者に対して最新版の「同2.4.50」へアップデートするよう求めた。また「同2.2」系については、すでにサポートが終了していることをあらためてアナウンスし、「同2.4」系へ移行するよう呼びかけている。

(Security NEXT - 2021/10/06 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

QNAP製品のファームウェアに深刻な脆弱性 - 対象は限定的
「Cisco ISE」の脆弱性、順次パッチ提供 - リリース後は悪用コードが利用可能に
狙われる顧客管理ツール「SugarCRM」の脆弱性 - 米政府も注意喚起
「スシロー」のAndroidアプリにパスワード漏洩のおそれ - アップデートを
「VMware vROps」にCSRFの脆弱性 - アップデートが公開
脅威情報共有プラットフォーム「MISP」に脆弱性 - パッチで修正
脆弱性スキャナ「Nessus」にセキュリティアップデート
「VMware vRealize Log Insight」の深刻な脆弱性、PoCが公開
コンテナ管理プラットフォーム「Rancher」に深刻な脆弱性
macOS向けアップデート - 複数脆弱性を修正