apache

オープンソースサーバーソフトウェア Apache HTTP Server に深刻なセキュリティ脆弱性が発生しました。攻撃者は影響を受けたサービスにアクセスできる場合、リクエストを構築することでサーバーのメモリを破壊し、Web サービスプロセスの権限でコードを実行することができます。この脆弱性は HTTP/2 モジュールに存在し、攻撃者は認証なしで同時同期の欠陥を引き起こし、ヒープメモリの破損を引き起こすことができます。成功裏に利用された場合、Apache ワーカープロセスの権限でコードを実行し、そのプロセスが読み取ることができるデータにアクセスできます。影響を受ける範囲には Apache HTTP Server 2.4.55 から 2.4.70 まで、また GitHub から個別に使用される mod_h2 2.0.8 から 2.0.42 までが含まれます。レッドハット社は、リスクが Protocols 指令を通じて HTTP/2 を有効にしたサーバーに関連していると述べており、これには暗号化接続で使用される H2 と平文接続で使用される H2C が含まれます。管理者はグローバル設定と各仮想ホスト設定を同時に確認する必要があります。ウェブサイトのフロントエンドに CDN またはリバースプロキシがデプロイされている場合、Apache ソースサーバーが HTTP/2 を介して直接アクセス可能かどうかも確認する必要があります。Apache は 2026 年 11 月 11 日に HTTP Server 2.4.71 をリリースしました。Apache を使用しているウェブサイトは直ちにアップグレードすることを推奨します。アップグレードが一時的にできない場合は、HTTP/2 を一時的に無効にすることができます。問題は mod_http2 の assign_headers() 関数にあります。HTTP/2 は同じ接続内で複数のリクエストを同時に処理することを許可しますが、影響を受けるコードは共有リソースを処理する際に同期の欠陥があり、ヒープメモリの破損を引き起こす可能性があります。この脆弱性は Anthropic OSS Scanner オープンソースプロジェクトのスキャン計画と Google Cloud 脆弱性研究チームによって発見され、Anthropic は 10 月 26 日に Apache 財団に報告し、Google Cloud チームは 11 月 3 日に同じ脆弱性を報告しました。

ChainCatcher のメッセージによると、SlowMist の情報で、Apache RocketMQ が深刻なセキュリティ警告を発表し、リモートコマンド実行の脆弱性（CVE-2023-37582）が公開され、現在 PoC がインターネット上で公開されており、攻撃の事例が発生しています。Apache RocketMQ は、オープンソースの分散メッセージおよびストリーム処理プラットフォームであり、スケーラブルな低遅延のメッセージおよびストリームデータ処理能力を提供し、非同期通信、アプリケーションのデカップリング、システム統合などのシナリオで広く使用されています。暗号通貨業界では、多くのプラットフォームがこの製品を使用してメッセージサービスを処理しているため、リスクに注意してください。脆弱性の説明：RocketMQ の NameServer コンポーネントが外部ネットワークに露出しており、効果的な認証メカニズムが欠如している場合、攻撃者は設定更新機能を利用して、RocketMQ が実行されているシステムユーザーの権限でコマンドを実行することができます。影響範囲：＜RocketMQ 4.9.7＜RocketMQ 5.1.2修正案：RocketMQ 4.x バージョンのユーザーは 4.9.7 以上にアップグレードしてください；RocketMQ 5.x バージョンのユーザーは 5.1.2 以上にアップグレードしてください。(出典リンク)