Apache HTTP Server Projectは、Webサーバーソフト「Apache HTTP Server」のバージョン2.4.70を公開した。公式の変更履歴には、5件の修正が記載されている。
このうち2件は、整数オーバーフローとヒープバッファーオーバーフローという、メモリ破損につながる不具合である。Apacheを自社サーバーやアプライアンスで使っている企業は、影響の有無を確認しておきたい。
2.4.70で修正された5件
変更履歴によると、修正は5つのモジュールにまたがる。mod_authnz_ldapでは、2.4.69で報告されたWindows環境でのクラッシュが直された。mod_cgidでは、環境変数の数と長さ、URI、引数の上限が引き上げられている。
mod_cacheでは、「Header always」で「Vary: *」が設定された応答を保存しないようになった。この修正の背景や影響範囲は、変更履歴には書かれていない。ほかの2件は、次の節で述べるメモリ破損に関するものである。
メモリ破損に関わる2件
mod_substituteでは、ごく特殊な構成で起こり得る整数オーバーフローが修正された。発生条件が限られており、一般的な設定で影響を受けるかどうかは、変更履歴からは分からない。
mod_dav_lockでは、dav_size_indirect()関数のヒープバッファーオーバーフローが修正された。保存するキーの長さのフィールドが、apr_size_tで書き込まれる一方で、int分の領域しか確保されていなかったことが原因とされている。WebDAVのロック機能を有効にしている環境が確認の対象になる。
なお、今回の変更履歴の各項目には、CVE番号は付いていない。悪用の有無や深刻度の評価も、変更履歴には示されていない。
直前の2.4.69との関係
直前の2.4.69は2026年10月1日にリリースされ、公式の脆弱性一覧には20件のCVEが記載されている。たとえば、mod_dav_fsの整数オーバーフロー、mod_userdirの情報漏えい、mod_auth_digestのサービス拒否や認証のリプレイなどが含まれる。
2.4.70には、その2.4.69で報告された不具合の修正も含まれている。Windows環境でmod_authnz_ldapを使っている場合は、2.4.69のクラッシュとの関係を確認するとよい。
日本企業への示唆
最初に、自社でApacheがどこで動いているかを棚卸ししたい。社内のWebサーバーだけでなく、パッケージ製品に同梱されたものや、委託先の環境も対象になる。OSのパッケージで入れている場合は、ディストリビューション側の対応版も確認が必要だ。
次に、有効にしているモジュールを確認する。mod_dav_lockやmod_substituteなど、今回の修正対象を使っていなければ、影響の優先度は下がる。ただし、2.4.69でも20件のCVEが出ているため、2.4.70へ上げる計画は立てておきたい。
更新のあとは、WebDAVやLDAP認証、CGIを使う業務システムで動作確認を行う。環境変数やURIの上限が変わったmod_cgidは、挙動の差が出る可能性がある。自社のWebサーバーの弱点を外部の目で確かめたい場合は、診断サービスの活用も選択肢になる。
ITトレンドでセキュリティ診断についてチェック！[【ランキング】セキュリティ診断サービスおすすめ19選比較！料金相場]
Web向け環境の脆弱性はこちらもチェック！[PHPに認証不要でリモートコード実行の脆弱性2件、修正版を公開——PHP-FPMやmod_phpなどWeb向け環境が対象、IPAは事前の棚卸しを要請]
まとめ
Apache HTTP Server 2.4.70では、5件の不具合が修正された。うち2件は、整数オーバーフローとヒープバッファーオーバーフローである。変更履歴にCVE番号や深刻度は示されていない。
利用中のバージョンとモジュールを確認し、更新の計画を立てたい。
