JVNVU#91930855
Apache HTTP Server 2.4における複数の脆弱性に対するアップデート

The Apache Software Foundationから、Apache HTTP Server 2.4系における複数の脆弱性に対応したApache HTTP Server 2.4.64が公開されました。

CVE-2024-42516、CVE-2024-43204、CVE-2024-43394、CVE-2024-47252

• Apache HTTP Server 2.4.0から2.4.63

• Apache HTTP Server 2.4.35から2.4.63

• Apache HTTP Server 2.4.26から2.4.63

• Apache HTTP Server 2.4.63およびそれ以前

• Apache HTTP Server 2.4.17から2.4.63

The Apache Software Foundationから、Apache HTTP Server 2.4系における次の複数の脆弱性に対応したApache HTTP Server 2.4.64が公開されました。

• Apache HTTP Serverのコア機能におけるHTTPレスポンス分割の問題（CVE-2024-42516）
  • Apache HTTP Server 2.4.59で修正された不具合（CVE-2023-38709）に対する不十分な修正に対応
• mod_proxyがロードされたApache HTTP Serverにおけるサーバサイドリクエストフォージェリ（CVE-2024-43204）
• Windows用Apache HTTP Serverにおけるサーバサイドリクエストフォージェリ（CVE-2024-43394）
• mod_sslにおける、ユーザー指定のデータのエスケープが不十分な問題（CVE-2024-47252）
• 特定のmod_ssl構成において、信頼されたクライアントによるアクセス制御のバイパスが可能な問題（CVE-2025-23048）
• 特定のプロキシ構成において、信頼できないクライアントによる意図的に発生可能なアサーションエラー（CVE-2025-49630）
• 特定のmod_ssl構成において、中間者攻撃者によるTLSアップグレード攻撃が可能な問題（CVE-2025-49812）
• 有効期間後のメモリ解放の欠如（CVE-2025-53020）

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• HTTPレスポンスを分割し、任意のヘッダーなどを挿入される（CVE-2024-42516）
• 攻撃者が指定するURLへアウトバウンドプロキシリクエストを送信される（CVE-2024-43204）
• 悪意のあるサーバーにNTLMハッシュが漏洩する（CVE-2024-43394）
• クライアントから提供されたデータに対してエスケープ処理が実施されないままログファイルに表示される（CVE-2024-47252）
• 別のバーチャルホストにアクセスされる（CVE-2025-23048）
• サービス運用妨害（DoS）状態にされる（CVE-2025-49630）
• HTTP セッションを乗っ取られる（CVE-2025-49812）
• メモリが開放されないことで、サービス運用妨害（DoS）状態につながる（CVE-2025-53020）

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。