「Apache HttpClient」にドメイン検証を無効化する脆弱性
「Apache HttpClient」のドメイン検証処理に脆弱性が明らかとなった。脆弱性を修正するアップデートが提供されている。
「パブリックサフィックスリスト(PSL)」の検証ロジックにおけるバグに起因し、ドメインの検証を正しく行えない脆弱性「CVE-2025-27820」が明らかとなったもの。
Cookieやホスト名におけるドメイン検証を回避され、認証なしにアクセスされたり、情報漏洩が生じるおそれがある。「同5.4.x」に影響があり、以前のバージョンについては、影響はないとしている。
開発チームでは、同脆弱性の重要度を「中(Moderate)」とした。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.5」と評価されている。
開発チームでは、現地時間2025年3月27日「同5.4.3」にて同脆弱性を修正。利用者にアップデートを呼びかけている。
(Security NEXT - 2025/05/02 )
ツイート
PR
関連記事
SonicWall「SMA100」の既知脆弱性狙う攻撃 - 侵害状況の確認を
複数の歴史公文書が所在不明、不要文書と一緒に廃棄か - 大阪市
情報公開文書に個人情報、マスキングの変換処理漏れで - 宇部市
スタートアップ支援拠点でメール誤送信が発生 - 愛知県
「ICS」の侵害チェック、改ざんで見逃しも - 事例踏まえて慎重に判断を
業務用端末1台がランサム感染、被害状況を調査 - 中京海運
SonicWall製ファイアウォールに脆弱性 - 認証回避や権限昇格のおそれ
SonicWall製VPN「SMA1000」に深刻な脆弱性 - すでに悪用か
SonicWall製FW狙う脆弱性攻撃 - 更新できない場合は「SSL VPN」無効化を
SonicWall製VPNクライアント「NetExtender」に複数脆弱性