Apache HTTP Server 2.4 に複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は5月8日、Apache HTTP Server 2.4における複数の脆弱性に対するアップデートについて「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。

・CVE-2026-23918
Apache HTTP Server 2.4.66

・CVE-2026-24072
Apache HTTP Server 2.4.66およびそれ以前

・CVE-2026-28780
Apache HTTP Server 2.4.66およびそれ以前

・CVE-2026-29168
Apache HTTP Server 2.4.30から2.4.66まで

・CVE-2026-29169
Apache HTTP Server 2.4.66およびそれ以前

・CVE-2026-33006
Apache HTTP Server 2.4.66およびそれ以前

・CVE-2026-33007
Apache HTTP Server 2.4.0から2.4.66まで

・CVE-2026-33523
Apache HTTP Server 2.4.0から2.4.66まで

・CVE-2026-33857
Apache HTTP Server 2.4.66およびそれ以前

・CVE-2026-34032
Apache HTTP Server 2.4.66およびそれ以前

・CVE-2026-34059
Apache HTTP Server 2.4.66およびそれ以前

　The Apache Software Foundationから、Apache HTTP Server 2.4系における複数の脆弱性に対応したApache HTTP Server 2.4.67が公開されている。想定される影響は各脆弱性により異なるが、下記のような影響を受ける可能性がある。

HTTP/2処理時の二重解放（CVE-2026-23918）
→サービス運用妨害（DoS）状態にされたり、任意のコードが実行されたりする

mod_rewriteにおける権限昇格（CVE-2026-24072）
→ローカルの .htaccess 作成権限を持つ攻撃者によって、httpd ユーザー権限でファイルが読み取られる

mod_proxy_ajpにおけるバッファオーバーフロー（CVE-2026-28780）
→悪意のある AJP サーバと接続した場合、サービス運用妨害（DoS）が引き起こされる

mod_mdにおけるOCSP応答処理の不備（CVE-2026-29168）
→過剰なリソース消費が引き起こされる

mod_dav_lockにおけるNULLポインタ参照（CVE-2026-29169）
→サービス運用妨害（DoS）が引き起こされる

mod_auth_digestにおいてタイミング攻撃が可能となる問題（CVE-2026-33006）
→Digest認証が回避される

mod_authn_socacheにおけるNULLポインタ参照（CVE-2026-33007）
→キャッシングフォワードプロキシ構成において、子プロセスがクラッシュさせられる

バックエンドサーバからのステータス行処理の不備によりHTTPレスポンスが分割される問題（CVE-2026-33523）
→HTTP レスポンス分割攻撃を受ける

mod_proxy_ajpにおける境界外読み取り（CVE-2026-33857）
→メモリ内の情報が漏えいする

mod_proxy_ajpにおけるNULL終端チェック不備による境界外読み取り（CVE-2026-34032）
→メモリ内の情報が漏えいする

mod_proxy_ajpにおけるヒープメモリの境界外読み取り（CVE-2026-34059）
→メモリ内の情報が漏えいする

　JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。

元の記事を読む