Published: 2024-04-09 08:00
Apache HTTP Server 2.4 に複数の脆弱性
独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は4月5日、Apache HTTP Server 2.4における複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。
・CVE-2023-38709
Apache HTTP Server 2.4.58およびそれ以前
・CVE-2024-24795
Apache HTTP Server 2.4.0から2.4.58まで
・CVE-2024-27316
Apache HTTP Server 2.4.17から2.4.58まで
The Apache Software Foundationでは、Apache HTTP Server 2.4系における下記の影響を受ける可能性がある複数の脆弱性に対応したApache HTTP Server 2.4.59を公開している。
Apache HTTP Serverのコア機能におけるHTTPレスポンス分割の問題（CVE-2023-38709）
→Apache HTTP Serverのコア機能の入力検証に誤りがあり、悪意のある、または悪用可能なバックエンド／コンテンツジェネレーターによって、HTTPレスポンスを分割される
複数のモジュールにおけるHTTPレスポンス分割の問題（CVE-2024-24795）
→細工したレスポンスヘッダをバックエンドアプリケーションに注入可能な攻撃者によって、HTTP desync攻撃を実行される
HTTP/2 CONTINUATIONフレームの検証不備に起因したメモリ枯渇の問題（CVE-2024-27316）
→END_HEADERSフラグが設定されていないHTTP/2 CONTINUATIONフレームを送信され続けた場合、メモリ枯渇が発生してサービス運用妨害（DoS）状態を引き起こされる
JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。
| # | 言葉 | 意味 |
|---|---|---|
| 4 | おく | おく (奥) : inner part; inside; interior; depths (e.g. of a forest); back (of a house, drawer, etc.); bottom (e.g. of one's heart); recesses; heart |
| 3 | 複数 | ふくすう (複数) : plural; multiple; several |
| 3 | 分割 | ぶんかつ (分割) : partition; division; separation; segmenting; splitting |
| 2 | および | および (及び) : and; as well as |
| 2 | 脆弱性 | ぜいじゃくせい (脆弱性) : vulnerability; weakness; fragility |
| 2 | 影響 | えいきょう (影響) : 1. influence; effect 2. to influence; to affect; to have an influence on; to impact; to have an effect on |
| 2 | 機能 | きのう (機能) : function; facility; faculty; feature |
| 2 | 検証 | けんしょう (検証) : verification; inspection |
| 2 | 可能 | かのう (可能) : possible; potential; practicable; feasible |
| 2 | よる | よる (因る) : 1. to be due to; to be caused by 2. to depend on; to turn on |
| 2 | 枯渇 | こかつ (枯渇) : 1. drying up; running dry 2. running out; being exhausted; being drained |
| 1 | 独立行政法人 | どくりつぎょうせいほうじん (独立行政法人) : independent administrative corporation (institution, agency) |
| 1 | 情報処理推進機構 | じょうほうしょりすいしんきこう (情報処理推進機構) : Information-technology Promotion Agency (organization) |
| 1 | 一般社団法人 | いっぱんしゃだんほうじん (一般社団法人) : general incorporated association |
| 1 | 発表 | はっぴょう (発表) : announcement; publication; presenting; statement; communique; making known; breaking (news story); expressing (one's opinion); releasing; unveiling |
| 1 | 通り | とおり (通り) : 1. avenue; street; way; road 2. coming and going; street traffic |
| 1 | 以前 | いぜん (以前) : ago; since; before; previous |
| 1 | 系 | けい (系) : 1. system; lineage; group 2. corollary |
| 1 | 下記 | かき (下記) : the following |
| 1 | 可能性 | かのうせい (可能性) : potentiality; likelihood; possibility; availability |
| 1 | 対応 | たいおう (対応) : 1. correspondence (to); equivalence 2. suitability; coordination; matching; being appropriate (for) |
| 1 | 公開 | こうかい (公開) : opening to the public; making available to the public; putting on display; exhibiting; showing (play, movie, etc.); holding (interview, etc.); open; public |
| 1 | 入力 | にゅうりょく (入力) : input; (data) entry |
| 1 | 誤り | あやまり (誤り) : error; mistake; slip; bug |
| 1 | 悪意 | あくい (悪意) : 1. ill will; spite; evil intention; malice 2. bad meaning |
| 1 | 悪用 | あくよう (悪用) : abuse; misuse; perversion |
| 1 | 細工 | さいく (細工) : 1. work; workmanship; craftsmanship; handiwork 2. artifice; trick; device; tampering; doctoring |
| 1 | 注入 | ちゅうにゅう (注入) : pouring; injection |
| 1 | 攻撃者 | こうげきしゃ (攻撃者) : aggressor; assailant; invader |
| 1 | 攻撃 | こうげき (攻撃) : 1. attack; assault; raid; onslaught; offensive 2. criticism; censure; denunciation; condemnation |
| 1 | 実行 | じっこう (実行) : execution (e.g. of a plan); carrying out; practice; action; implementation; fulfillment; realization |
| 1 | 不備 | ふび (不備) : 1. defect; deficiency; imperfection; inadequacy; lack 2. Yours in haste |
| 1 | 起因 | きいん (起因) : cause; origin |
| 1 | 設定 | せってい (設定) : 1. establishment; creation; posing (a problem); setting (movie, novel, etc.); scene 2. options setting; preference settings; configuration; setup |
| 1 | 送信 | そうしん (送信) : transmission; sending |
| 1 | 発生 | はっせい (発生) : 1. outbreak; spring forth; occurrence; incidence 2. generation (e.g. of power or heat); genesis; origin |
| 1 | 運用 | うんよう (運用) : 1. making use of; application; practical use; effective management (e.g. of funds) 2. operation; handling; steering (esp. a boat) |
| 1 | 妨害 | ぼうがい (妨害) : disturbance; obstruction; hindrance; jamming; interference |
| 1 | 状態 | じょうたい (状態) : state; condition; situation; appearance; circumstances |
| 1 | 引き起こす | ひきおこす (引き起こす) : 1. to cause; to induce; to bring about; to provoke 2. to pull upright; to help up (e.g. a fallen person) |
| 1 | 開発者 | かいはつしゃ (開発者) : developer |
| 1 | 提供 | ていきょう (提供) : 1. offer; tender; providing; supplying; making available; donating (blood, organs, etc.) 2. sponsoring (a TV program) |
| 1 | 情報 | じょうほう (情報) : 1. information; news; intelligence; advices 2. information; data contained in characters, signals, code, etc. |
| 1 | もと | もと (元) : 1. origin; source 2. base; basis; foundation; root |
| 1 | 最新版 | さいしんばん (最新版) : latest version; latest edition |
| 1 | 呼びかける | よびかける (呼びかける) : 1. to call out to; to hail; to address 2. to appeal |