Apache HTTP Web Server、HTTP/2処理に脆弱性

Japan Vulnerability Notes

JPCERTコーディネーションセンター(Japan Computer Emergency Response Team Coordination Center、JPCERT/CC)は12月6日、「Japan Vulnerability Notes(JVN)」に掲載した記事「JVNVU#97133859: Apache HTTP Web Server の HTTP/2 プロトコルの処理にサービス運用妨害 (DoS) の脆弱性」においてソフトウェアの脆弱性について伝えた。該当するソフトウェアを使用している場合は説明されている対策方法などを適用し、早期に問題に対処することが推奨される。

脆弱性の影響を受けるプロダクトおよびバージョンは次のとおり。

Apache HTTP web server 2.4.17から2.4.23までのバージョン

該当するプロダクトはHTTP/2プロトコルを処理するモジュールの実装に不具合があり、メモリを消費するDoS攻撃を受ける可能性があるとされている。問題を一時的に回避するには設定ファイルからh2およびh2cを削除してHTTP/2を無効化すればよいとされている。最終的には脆弱性が修正されたバージョンへのアップグレードを実施することが望まれる。