JAPAN APACHE USERS GROUP

新着情報

Apache 2.2.13 がリリースされました

(2009/8/8)

Apache HTTP Server の 2.2.13 がリリースされました。セキュリティ上の問題などが修正されています。

Apache HTTP Server に同梱の APR や APR-util で DoS を引き起こしたり任意のコードを実行させてしまう可能性がある問題 (CVE-2009-2412)を修正しました。

アナウンス (Apache HTTP Server 2.2.13 Released)

2.2.13 までの変更点

Apache 2.2.12 がリリースされました

(2009/7/30)

Apache HTTP Server の 2.2.12 がリリースされました。セキュリティ上の問題が修正されています。

mod_deflate 等でサーバに大きなファイルを圧縮させるとクライアントが接続を切断した後でもその処理を続けてしまうため、サーバのCPU時間を食い潰させるができてしまう、という問題 (CVE-2009-1891)を修正しました。
SSI を許可するが、#exec を無効化するAllowOverride ディレクティブの Options=IncludesNOEXEC が正しく処理されていなかったため、.htaccess を変更できるサーバ上のローカルユーザが、サーバプロセスの権限でコードを実行させることができてしまう問題 (CVE-2009-1195) を修正しました。AllowOverride で制限されている場合に、.htaccess で Includes オプションが有効にならなくなります。
mod_proxy をリバースプロキシとして使っている場合に、攻撃者が細工したリクエストを送ることで proxy 処理に無制限にCPU時間を浪費させてしまうことのできる問題 (CVE-2009-1890) を修正しました。
mod_proxy_ajp が以前に受けたリクエストへの応答を漏洩してしまうことがある問題 (CVE-2009-1191) を修正しました。
Apache HTTP Server に同梱されている APR-util ライブラリが更新されました。三つのセキュリティ上の問題 (CVE-2009-0023) (CVE-2009-1955) (CVE-2009-1956) が修正されています。設定によっては影響を受けるものです。また、サードパーティのモジュールにも影響があるかもしれません。