独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月20日、Apache HTTP Server 2.4における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。


・CVE-2023-31122、CVE-2023-45802
Apache HTTP Server 2.4.57およびそれ以前

・CVE-2023-43622
Apache HTTP Server 2.4.55から2.4.57まで

　The Apache Software Foundationでは、Apache HTTP Server 2.4系における下記の影響を受ける可能性がある複数の脆弱性に対応したApache HTTP Server 2.4.58を公開している。

mod_macroにおけるバッファ外読み取りの脆弱性（CVE-2023-31122）
→攻撃者によって境界外の情報を読み取られる

初期ウィンドウサイズ0のHTTP/2接続による当該サーバーのリソース消費の問題（CVE-2023-43622）
→攻撃者によって複数の初期ウィンドウサイズ0のHTTP/2接続を実施され、サービス運用妨害（DoS）状態にされる

HTTP/2ストリームメモリがRSTですぐに再利用されない問題（CVE-2023-45802）
→コネクションがクローズするまでクライアントから新しいリクエストとリセットが送られることで、メモリフットプリントが増大し続ける

　JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。

元の記事を読む

編集部おすすめ