Apache HTTP Serverの脆弱性(Moderate: CVE-2024-42516, CVE-2024-43394, CVE-2025-23408, CVE-2025-49812, CVE-2025-53020, Low: CVE-2024-43204, CVE-2024-47252, CVE-2025-49630) と2.4.64リリース

07/11/2025にApache HTTP Serverの脆弱性(CVE-2024-42516, CVE-2024-43204, CVE-2024-43394, CVE-2024-47252, CVE-2025-23408, CVE-2025-49630, CVE-2025-49812, CVE-2025-53020)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。

[過去関連リンク(最新5件)]

CVSS/プライオリティ

  • CVE-2024-42516
    • 影響するバージョン
      • 2.4.0 through 2.4.63
    • Priority/EPSS
      • NVD:
      • Red Hat:
    • CVSS Score / CVSS Vector
      • NVD:
      • Red Hat:
    • EPSS Score/Percentile
      • DATE(JST): 2025-07-10
      • EPSS: Not Available
      • Percentile: Not Available
  • CVE-2024-43204
    • 影響するバージョン
      • 2.4.0 through 2.4.63
    • Priority/EPSS
      • NVD:
      • Red Hat:
    • CVSS Score / CVSS Vector
      • NVD:
      • Red Hat:
    • EPSS Score/Percentile
      • DATE(JST): 2025-07-10
      • EPSS: Not Available
      • Percentile: Not Available
  • CVE-2024-43394
    • 影響するバージョン
      • 2.4.0 through 2.4.63
    • Priority/EPSS
      • NVD:
      • Red Hat: 5.3
    • CVSS Score / CVSS Vector
      • NVD:
      • Red Hat: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
    • EPSS Score/Percentile
      • DATE(JST): 2025-07-10
      • EPSS: Not Available
      • Percentile: Not Available
  • CVE-2024-47252
    • 影響するバージョン
      • 2.4 through 2.4.63
    • Priority/EPSS
      • NVD:
      • Red Hat:
    • CVSS Score / CVSS Vector
      • NVD:
      • Red Hat:
    • EPSS Score/Percentile
      • DATE(JST): 2025-07-10
      • EPSS: Not Available
      • Percentile: Not Available
  • CVE-2025-23408
    • 影響するバージョン
      • 2.4.35 through 2.4.63
    • Priority/EPSS
      • NVD:
      • Red Hat:
    • CVSS Score / CVSS Vector
      • NVD:
      • Red Hat:
    • EPSS Score/Percentile
      • DATE(JST): 2025-07-10
      • EPSS: Not Available
      • Percentile: Not Available
  • CVE-2025-49630
    • 影響するバージョン
      • 2.4.26 through 2.4.63
    • Priority/EPSS
      • NVD:
      • Red Hat:
    • CVSS Score / CVSS Vector
      • NVD:
      • Red Hat:
    • EPSS Score/Percentile
      • DATE(JST): 2025-07-10
      • EPSS: Not Available
      • Percentile: Not Available
  • CVE-2025-49812
    • 影響するバージョン
      • through 2.4.63
    • Priority/EPSS
      • NVD:
      • Red Hat:
    • CVSS Score / CVSS Vector
      • NVD:
      • Red Hat:
    • EPSS Score/Percentile
      • DATE(JST): 2025-07-10
      • EPSS: Not Available
      • Percentile: Not Available
  • CVE-2025-53020
    • 影響するバージョン
      • 2.4.17 through 2.4.63
    • Priority/EPSS
      • NVD:
      • Red Hat: 5.3
    • CVSS Score / CVSS Vector
      • NVD:
      • Red Hat: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
    • EPSS Score/Percentile
      • DATE(JST): 2025-07-10
      • EPSS: Not Available
      • Percentile: Not Available

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • https://www.cve.org/CVERecord?id=CVE-2024-42516
  • https://www.cve.org/CVERecord?id=CVE-2024-43204
    • Apache HTTP Server: mod_headers設定でのContent-Type headerにおけるSSRF
    • mod_proxyがロードされた際のApache HTTP ServerのSSRFにより、攻撃者は自身が管理しているURLにoutbound proxy requestを送信できます。この脆弱性を悪用するには、HTTP リクエストで指定された値を使用してContent-Typeリクエストヘッダーまたはレスポンスヘッダーを変更するようにmod_headersを設定するという、あまり一般的ではない設定が必要です。
  • https://www.cve.org/CVERecord?id=CVE-2024-43394
    • Apache HTTP Server: Windows上でのUNCパスを通じたSSRF
    • Windows上でのApache HTTP Serverでは、Server-Side Request Forgery (SSRF) により、検証されていないリクエスト入力を渡すmod_rewriteやapache式を介して、NTLMハッシュが悪意のあるサーバーに漏洩する可能性があります。
  • https://www.cve.org/CVERecord?id=CVE-2024-47252
    • Apache HTTP Server: mod_ssl エラーログ変数エスケープ
    • Apache HTTP Server 2.4.63以前のmod_sslでは、ユーザーにより提供されたデータのエスケープ処理が不十分なため、一部の設定において信頼できないSSL/TLSクライアントがログファイルにエスケープ文字を挿入できる可能性があります。 SSL_TLS_SNIなど、mod_sslが提供する変数をログに記録するために CustomLogで”%{varname}x”や”%{varname}c”を使用するログ設定では、mod_log_configとmod_sslのどちらでもエスケープ処理が実行されず、クライアントから提供されたサニタイズされていないデータがログファイルに記録される可能性があります。
  • https://www.cve.org/CVERecord?id=CVE-2025-23408
    • Apache HTTP Server: mod_ssl アクセス制御のバイパス
    • Apache HTTP Server 2.4.35から2.4.62の一部のmod_ssl 設定では、TLS 1.3セッション再開を使用して、信頼されたクライアントによるアクセス制御をバイパスされる可能性があります。mod_sslが複数の仮想ホストに対して設定され、各仮想ホストが異なる信頼されたクライアント証明書セットに制限されている場合（例えば異なるSSLCACertificateFile/Path設定など）に影響を受けます。このような場合、いずれかの仮想ホストでSSLStrictSNIVHostCheckが有効になっていないと、ある仮想ホストへのアクセスが信頼されているクライアントが、別の仮想ホストにアクセスできる可能性があります。
  • https://www.cve.org/CVERecord?id=CVE-2025-49630
    • Apache HTTP Server: mod_proxy_http2 DoS
    • 特定のプロキシ設定では、信頼できないクライアントがmod_proxy_http2でアサーションを発生させ、該当するバージョンのApache HTTP Serverに対してDoSを引き起こす可能性があります。 影響を受ける設定はリバースプロキシがHTTP/2バックエンドに設定され、ProxyPreserveHostが”on”に設定されていることです。
  • https://www.cve.org/CVERecord?id=CVE-2025-49812
    • Apache HTTP Server: mod_ssl TLS upgrade 攻撃
    • Apache HTTP Server 2.4.63以前の一部のmod_ssl 構成では、HTTPの非同期攻撃によって中間者攻撃者がTLS アップグレードを介してHTTP セッションを乗っ取ることが可能です。 TLS アップグレードを有効にするために「SSLEngine オプション」を使用している構成のみが影響を受けます。
  • https://www.cve.org/CVERecord?id=CVE-2025-53020
    • Apache HTTP Server: メモリ増加によるHTTP/2 DoS
    • Apache HTTP Server における有効ライフタイム(Effective Lifetime)後のメモリの遅延解放の脆弱性になります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。

[参考]

タイトルとURLをコピーしました