Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Apache HttpClient」にドメイン検証を無効化する脆弱性

「Apache HttpClient」のドメイン検証処理に脆弱性が明らかとなった。脆弱性を修正するアップデートが提供されている。

「パブリックサフィックスリスト(PSL)」の検証ロジックにおけるバグに起因し、ドメインの検証を正しく行えない脆弱性「CVE-2025-27820」が明らかとなったもの。

Cookieやホスト名におけるドメイン検証を回避され、認証なしにアクセスされたり、情報漏洩が生じるおそれがある。「同5.4.x」に影響があり、以前のバージョンについては、影響はないとしている。

開発チームでは、同脆弱性の重要度を「中(Moderate)」とした。共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.5」と評価されている。

開発チームでは、現地時間2025年3月27日「同5.4.3」にて同脆弱性を修正。利用者にアップデートを呼びかけている。

(Security NEXT - 2025/05/02 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Node.js」に脆弱性 - 5月14日にもアップデートを公開予定
XML解析ライブラリ「libexpat」に脆弱性 - DoS攻撃などのおそれ
Arista「CloudVision」に管理者権限を取得される脆弱性
「FortiOS」の認証回避脆弱性、攻撃継続中 - 国内でも被害
先週注目された記事(2025年5月4日〜2025年5月10日)
VPN経由で侵害、個人情報の流出を確認 - DTSグループのSIer
高見澤に対するサイバー攻撃、個人情報流出の可能性が判明
米当局、悪用が確認された既知脆弱性2件について注意喚起
偽基地局から送信されたフィッシングSMSに注意 - 総務省が注意喚起
「Active! mail」脆弱性の侵害確認方法、引き続き調査