Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

わずか3日、「Apache HTTPD」が再修正 - 前回修正は不十分、RCEのおそれも

「Apache HTTP Server」の開発チームは、現地時間10月7日に悪用済みの脆弱性へ対処した「Apache HTTP Server 2.4.51」をリリースした。前回リリースからわずか3日でのアップデートとなり、利用者は注意が必要だ。

現地時間10月4日に公開された「同2.4.50」において、パストラバーサルの脆弱性「CVE-2021-41773」に対する修正が不十分だったとして再度更新を行ったもの。リモートよりコードを実行されるおそれもあり、CVE番号「CVE-2021-42013」があらたに採番されている。

開発チームは、脆弱性の重要度を「クリティカル(Critical)」とレーティング。「CVE-2021-41773」が発現した「同2.4.49」および、修正版としてリリースされた「同2.4.50」のみ影響を受けるとしている。

「Alias」ディレクティブなどを用いて配置するようなドキュメントルート以外のファイルをURLにマッピングでき、「CGIスクリプト」の実行などを許可していれば、リモートよりコードを実行されるおそれもあるという。

複数のセキュリティ専門家より報告が寄せられ判明した。報告者には、セキュリティ研究者の熊坂駿吾氏と見られる名前もある。

訂正と追記のお知らせ:初出時の脆弱性の関する説明について一部修正を実施し、重要度に関する記載を追加しました。

(Security NEXT - 2021/10/08 ) このエントリーをはてなブックマークに追加

PR

関連記事

トレンドマイクロのWindows向けパスワード管理製品に脆弱性
「Firefox」や「Thunderbird」に深刻な脆弱性 - アップデートで修正
Mozilla、「Thunderbird 91.6.1」を公開 - 細工メールで悪用のおそれ
Zyxel製品の深刻な脆弱性、4月に修正済み - 報告者がサイレントパッチの危険性を指摘
米政府、「CVE-2022-26925」を緊急対応リストから一時削除 - DCへの影響で
Apple、「iOS 15.5」「iPadOS 15.5」をリリース - 脆弱性34件を修正
米政府、VMwareのID管理製品脆弱性で緊急指令 - 侵害確認とパッチ適用求める
F5製「BIG-IP」脆弱性、悪用容易 - 侵害有無の確認を
WordPress向けのテーマやプラグイン「Jupiter」に深刻な脆弱性
「BIND」の「DNS over HTTPS」に脆弱性 - DoS攻撃のおそれ