火星財經の情報によると、オープンソースのサーバーソフトウェア「Apache HTTP Server」に深刻なセキュリティ脆弱性が存在します。攻撃者が影響を受けるサービスにアクセスできる場合、特製のリクエストを送信することでサーバーメモリを破壊し、Webサービスプロセスの権限でコードを実行できます。この脆弱性はHTTP/2モジュールに存在し、認証なしで並列同期の欠陥をトリガーし、ヒープメモリの破損を引き起こします。成功した攻撃では、Apacheワーカープロセスの権限でコードを実行し、そのプロセスが読み取れるデータにアクセスできます。影響を受けるバージョンは、Apache HTTP Server 2.4.55～2.4.70、およびGitHubから個別に使用されているmod_h2 2.0.8～2.0.42です。レッドハットは、ProtocolsディレクティブでHTTP/2を有効にしたサーバーがリスクにさらされていると指摘しており、暗号化接続に使用されるH2および平文接続に使用されるH2Cが該当します。管理者はグローバル設定と各バーチャルホスト設定の両方を確認する必要があります。また、WebサイトのフロントエンドにCDNまたはリバースプロキシを導入している場合、ApacheのオリジンサーバーがHTTP/2を通じて直接アクセス可能かどうかも確認する必要があります。Apacheは2026年11月11日にHTTP Server 2.4.71をリリースしました。Apacheを使用しているサイトは直ちにアップグレードすることをお勧めします。アップグレードが即時できない場合は、一時的にHTTP/2を無効化してください。この問題はmod_http2のassign_headers()関数にあります。HTTP/2は同じ接続内で複数のリクエストを並列処理できますが、影響を受けるコードは共有リソースの処理中に同期の欠陥を抱えており、ヒープメモリの破損を引き起こす可能性があります。この脆弱性はAnthropic OSS Scannerのオープンソースプロジェクトスキャン計画とGoogle Cloudの脆弱性研究チームによって発見されました。Anthropicは10月26日にApache財団に報告し、Google Cloudチームは11月3日に同様の脆弱性を報告しました。
Apache HTTP Server 2.4.55-2.4.70で、深刻なHTTP/2リモートコード実行脆弱性が発見されました
MarsBit共有
概要
Apache HTTP Serverに関して、重要なHTTP/2リモートコード実行の脆弱性が新たに公開されました。このセキュリティ侵害は、バージョン2.4.55から2.4.70およびmod_h2 2.0.8から2.0.42に影響します。攻撃者は、サーバーのメモリを破壊し、任意のコードを実行するために、意図的に作成されたリクエストを送信することでこの脆弱性を悪用できます。Apacheは2026年11月11日に、この問題を修正するためのバージョン2.4.71をリリースしました。システム管理者には、即座にアップグレードするか、一時的な対策としてHTTP/2を無効化することが強く推奨されます。
出典:原文を表示
免責事項: 本ページの情報はサードパーティからのものであり、必ずしもKuCoinの見解や意見を反映しているわけではありません。この内容は一般的な情報提供のみを目的として提供されており、いかなる種類の表明や保証もなく、金融または投資助言として解釈されるものでもありません。KuCoinは誤記や脱落、またはこの情報の使用に起因するいかなる結果に対しても責任を負いません。
デジタル資産への投資にはリスクが伴います。商品のリスクとリスク許容度をご自身の財務状況に基づいて慎重に評価してください。詳しくは利用規約およびリスク開示を参照してください。