ITトレンドニュース

２０１７年６月１９日に「Apache HTTP Web Server」に複数モジュールにおける５件の脆弱性があることを発表いたしました。

なお、脆弱性は最新バージョンにて、修復済みであるとのこと。

Apacheの脆弱性を確認

一般社団法人JPCERTコーディネーションセンター（JPCERT/CC）は、「Apache HTTP Web Server」の複数モジュールにおけるサービス運用妨害（DoS）を含む５件の脆弱性を発表いたしました。

「Apache HTTP Web Server」は、世界で最も使用されているWebサーバーソフトとなっております。

その為、今回の脆弱性を狙った攻撃が実行される可能性は極めて高いと予測されます。

The Apache Software Foundationは、２０１７年６月２９日に最新バージョン「Apache HTTP Web Server」v2.4.26を公開しております。

最新バージョンは、現行の安定バージョン「2.4.x」をベースとしており、CVE番号ベースの５件の脆弱性を修復しております。

５件の脆弱性

“JVN”の脆弱性レポート（JVNVU#98416507）による５件の脆弱性は、以下の通りとなる。

CVE-2017-3167

• ap_get_basic_auth_pw()認証のバイパスの可能性
• サードパーティモジュールによりap_get_basic_auth_pw()が実行されると認証がバイパス可能性有り

CVE-2017-3169

• mod_sslのNULLポインタディリファレンスの可能性有り
• HTTPSポートにHTTPリクエストが来た場合、サードパーティモジュールによりap_hook_proces_connection()を呼び出した際にNULLポインタディリファレンスの可能性有り

CVE-2017-7659

• mod_http2のクラッシュの可能性有り
• ver2.4.25で追加されたHTTPのstrictパースにバグを確認。悪意のある細工されたリクエストヘッダにより、クラッカーがhttpdにセグメンテーションフォールトを起こせる可能性有り

CVE-2017-7668

• ap_find_token()のバッファ外読み込みの可能性有り
• ver2.2.32およびver2.4.24で追加されたHTTPのstrictパースにバグを確認。悪意のある細工されたリクエストヘッダにより、クラッカーがhttpdにセグメンテーションフォールトを起こせる可能性有り

CVE-2017-7679

• mod_mimeのバッファ外読み込みの可能性有り
• 悪意のある細工されたContent-Typeレスポンスヘッダにより、mod_mineがバッファの帯から先の１倍とを読み出す可能性有り

なお、５件の脆弱性について詳しく知りたい方は、以下のリンクをご参照ください。

• CVE-2017-3167
• CVE-2017-3169
• CVE-2017-7659
• CVE-2017-7668
• CVE-2017-7679

最新バージョンを公開

The Apache Software Foundationはすでに、Apache HTTP Web Server v2.4.26を公開している。

今回報告された５件の脆弱性は、旧バージョンであるver2.2.xにも該当します。

その為、早急に最新バージョンである「ver2.4.26」へアップデートすることが推奨されている。

なお、ver2.2.xには別途、修正パッチが公開されております。

ver2.2.x系列を利用している管理者および運営者は、早急にパッチを適応することを推奨されております。

[Apache HTTP SERVER PROJECT]