「Apache HTTPD」がアップデート - 一部脆弱性はすでに悪用済み

ウェブサーバ「Apache HTTP Server」の開発チームは、最新版となる「同2.4.50」をリリースした。機能の強化やバグフィックスにくわえて、脆弱性の修正を実施している。

今回脆弱性に関してはCVEベースで2件に対処しており、NULLポインタ参照の脆弱性「CVE-2021-41524」や、パストラバーサルによりファイルが漏洩するおそれがある「CVE-2021-41773」を修正した。

「CVE-2021-41773」は、「同2.4.49」で導入されたパスの正規化処理に起因する脆弱性。9月29日に報告を受けたという。ドキュメントルート外のファイルにおいて、明示的にアクセス拒否を設定していないと漏洩するおそれがある。影響を受けるのは同バージョンのみだが、すでに悪用も確認されているという。

一方「CVE-2021-41524」は、「HTTP/2」の処理において細工したリクエストによりサービス拒否に陥るおそれがある脆弱性。ファジングにより判明したもので、悪用などは確認されていないという。

開発チームは、利用者に対して最新版の「同2.4.50」へアップデートするよう求めた。また「同2.2」系については、すでにサポートが終了していることをあらためてアナウンスし、「同2.4」系へ移行するよう呼びかけている。

（Security NEXT - 2021/10/06 ） ツイート

PR

関連記事

「Microsoft Defender」に権限昇格の脆弱性 - 修正を実施
「Firefox」にクリティカル脆弱性 - 攻撃コード公開、悪用は未確認
「nginx」に複数脆弱性、「クリティカル」も - 修正版を公開
「Dell PowerFlex」に深刻な脆弱性 - 6月の更新で修正済み
米CISA、「FortiSandbox」「SharePoint」の脆弱性悪用を警告
「SAP」が月例更新、16件の新規アドバイザリ - 3件が「クリティカル」
「Oracle EBS」やビル設備向けプロトコルの脆弱性を悪用する攻撃
「Veeam Updater」に権限昇格の脆弱性 - root権限取得のおそれ
Windows版「Zoom」に深刻な脆弱性 - 最新版で修正済み
米セキュリティ当局、5件の悪用脆弱性に注意喚起