独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月5日、Apache HTTP Server 2.4における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。


・CVE-2023-38709
Apache HTTP Server 2.4.58およびそれ以前

・CVE-2024-24795
Apache HTTP Server 2.4.0から2.4.58まで

・CVE-2024-27316
Apache HTTP Server 2.4.17から2.4.58まで

　The Apache Software Foundationでは、Apache HTTP Server 2.4系における下記の影響を受ける可能性がある複数の脆弱性に対応したApache HTTP Server 2.4.59を公開している。

Apache HTTP Serverのコア機能におけるHTTPレスポンス分割の問題（CVE-2023-38709）
→Apache HTTP Serverのコア機能の入力検証に誤りがあり、悪意のある、または悪用可能なバックエンド／コンテンツジェネレーターによって、HTTPレスポンスを分割される

複数のモジュールにおけるHTTPレスポンス分割の問題（CVE-2024-24795）
→細工したレスポンスヘッダをバックエンドアプリケーションに注入可能な攻撃者によって、HTTP desync攻撃を実行される

HTTP/2 CONTINUATIONフレームの検証不備に起因したメモリ枯渇の問題（CVE-2024-27316）
→END_HEADERSフラグが設定されていないHTTP/2 CONTINUATIONフレームを送信され続けた場合、メモリ枯渇が発生してサービス運用妨害（DoS）状態を引き起こされる

　JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。

元の記事を読む

編集部おすすめ