「Apache HTTP Web Server」にDoS攻撃を受ける脆弱性（JVN）

IPAおよびJPCERT/CCは、Apache Software Foundationが提供する「Apache HTTP Web Server」にサービス運用妨害（DoS）の脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威セキュリティホール・脆弱性

27 views

2016.12.7 Wed 8:00

独立行政法人情報処理推進機構（IPA）および一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は12月6日、Apache Software Foundationが提供する「Apache HTTP Web Server」にサービス運用妨害（DoS）の脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。CVSS v3によるBase Scoreは7.5。

「Apache HTTP Web Server 2.4.17 から 2.4.23 まで」は、実験的（experimental）モジュール mod_http2がHTTP/2プロトコルの処理において、リソース制限が適切に行われていないことが原因でDoS攻撃を受ける脆弱性（CVE-2016-8740）が存在する。JVNでは、Apache HTTP WebServer 2.4.23 に対してはパッチが提供される予定であり、一時的な回避策として設定ファイル内の 'Protocols' 行から 'h2' および 'h2c' を削除することで HTTP/2 を無効にすることを挙げている。

《吉澤亨史（ Kouji Yoshizawa ）》