mod_http2

オープンソースサーバーソフトウェア Apache HTTP Server に深刻なセキュリティ脆弱性が発生しました。攻撃者は影響を受けたサービスにアクセスできる場合、リクエストを構築することでサーバーのメモリを破壊し、Web サービスプロセスの権限でコードを実行することができます。この脆弱性は HTTP/2 モジュールに存在し、攻撃者は認証なしで同時同期の欠陥を引き起こし、ヒープメモリの破損を引き起こすことができます。成功裏に利用された場合、Apache ワーカープロセスの権限でコードを実行し、そのプロセスが読み取ることができるデータにアクセスできます。影響を受ける範囲には Apache HTTP Server 2.4.55 から 2.4.70 まで、また GitHub から個別に使用される mod_h2 2.0.8 から 2.0.42 までが含まれます。レッドハット社は、リスクが Protocols 指令を通じて HTTP/2 を有効にしたサーバーに関連していると述べており、これには暗号化接続で使用される H2 と平文接続で使用される H2C が含まれます。管理者はグローバル設定と各仮想ホスト設定を同時に確認する必要があります。ウェブサイトのフロントエンドに CDN またはリバースプロキシがデプロイされている場合、Apache ソースサーバーが HTTP/2 を介して直接アクセス可能かどうかも確認する必要があります。Apache は 2026 年 11 月 11 日に HTTP Server 2.4.71 をリリースしました。Apache を使用しているウェブサイトは直ちにアップグレードすることを推奨します。アップグレードが一時的にできない場合は、HTTP/2 を一時的に無効にすることができます。問題は mod_http2 の assign_headers() 関数にあります。HTTP/2 は同じ接続内で複数のリクエストを同時に処理することを許可しますが、影響を受けるコードは共有リソースを処理する際に同期の欠陥があり、ヒープメモリの破損を引き起こす可能性があります。この脆弱性は Anthropic OSS Scanner オープンソースプロジェクトのスキャン計画と Google Cloud 脆弱性研究チームによって発見され、Anthropic は 10 月 26 日に Apache 財団に報告し、Google Cloud チームは 11 月 3 日に同じ脆弱性を報告しました。