「Apache httpd」のアクセス制御に脆弱性 - 条件分岐が常時「真」に

ウェブサーバ「Apache HTTP Server」の開発チームは現地時間2025年7月23日、アクセス制御の処理に関する脆弱性が判明したことを受け、セキュリティアップデートをリリースした。

「同2.4.64」の「mod_rewrite」モジュールにおいて、リダイレクトなどのルール設定における条件処理に脆弱性「CVE-2025-54090」が明らかとなったもの。2025年7月16日に報告があったという。

関数の戻り値を正しく評価しておらず、一部指定において本来は条件に応じて動作が分岐するところ、すべての条件が「真」として評価されるという。

意図しないアクセス制御やリダイレクトが発生するおそれがあり、設定内容によってセキュリティポリシーやアクセス制御の回避につながるおそれがある。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）による共通脆弱性評価システム「CVSSv3.1」のベーススコアは「6.3」、重要度は「中（Medium）」とレーティングされている。

開発チームでは、脆弱性を修正した「同2.4.65」がリリース。利用者にアップデートを呼びかけている。

（Security NEXT - 2025/07/25 ）ツイート