したがって、ALAS2023-2026-1720 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Apache HTTP 2.4.66 およびそれ以前のさまざまなモジュールにある権限昇格のバグにより、ローカルの .htaccess 作成者が httpd ユーザーの権限でファイルを読み取れる可能性があります。

    ユーザーには、この問題を修正したバージョン 2.4.67 へのアップグレードをお勧めします。(CVE-2026-24072)

    Apache HTTP Server の mod_proxy_ajp におけるヒープベースのバッファオーバーフローの脆弱性。mod_proxy_ajp が悪意のある AJP サーバーに接続すると、その AJP サーバーが悪意のある AJP メッセージを mod_proxy_ajp に送り返し、ヒープベースのバッファの終端後に攻撃者が制御する 4 バイトを書き込む可能性があります。

    この問題は、2.4.66 以前の Apache HTTP Server に影響を与えます。

    ユーザーには、この問題を修正したバージョンであるバージョン 2.4.67 へのアップグレードをお勧めします。(CVE-2026-28780)

    OCSP 応答データによる Apache HTTP Server の mod_md の制限またはスロットリングなしのリソース割り当ての脆弱性。

    この問題は Apache HTTP Server 2.4.30 ～ 2.4.66 に影響します。

    ユーザーには、この問題を修正したバージョンであるバージョン 2.4.67 へのアップグレードをお勧めします。(CVE-2026-29168)

    Apache HTTP Server 2.4.66 およびそれ以前の mod_dav_lock の NULL ポインターデリファレンスにより、攻撃者が悪意のあるリクエストでサーバーをクラッシュさせる可能性があります。mod_dav_lock は mod_dav または mod_dav_fs によって内部使用されていません。

    mod_dav_lock の唯一の既知の使用例は、Apache Subversion のバージョン 1.2.0 より前の mod_dav_svn です。

    ユーザーには、この問題を修正したバージョン 2.4.66 へのアップグレード、または mod_dav_lock の削除をお勧めします。
    (CVE-2026-29169)

    Apache HTTP Server 2.4.66 で mod_auth_digest に対するタイミング攻撃により、リモートの攻撃者による Digest 認証のバイパスが可能になります。

    ユーザーには、この問題を修正したバージョン 2.4.67 へのアップグレードをお勧めします。(CVE-2026-33006)

    Apache HTTP Server 2.4.66 以前で mod_authn_socache の NULL ポインターデリファレンスにより、認証されていないリモートのユーザーが、キャッシュフォワードプロキシ設定の子プロセスをクラッシュさせる可能性があります。

    ユーザーには、この問題を修正したバージョン 2.4.67 へのアップグレードをお勧めします。(CVE-2026-33007)

    信頼できない、または侵害されたバックエンドサーバーと組み合わせて使用した場合の複数の Apache HTTP Server モジュールでの HTTP 応答分割の脆弱性。

    この問題は Apache HTTP Server 2.4.66 以降に影響します。

    ユーザーには、この問題を修正したバージョンであるバージョン 2.4.67 へのアップグレードをお勧めします。(CVE-2026-33523)

    領域外読み取りの脆弱性: mod_proxy_ajp (

    Apache HTTP Server での)。

    この問題は、2.4.66 以前の Apache HTTP Server に影響を与えます。

    ユーザーには、この問題を修正したバージョンであるバージョン 2.4.67 へのアップグレードをお勧めします。(CVE-2026-33857)

    Apache HTTP Server での不適切な NULL 終端、領域外読み取りの脆弱性。

    この問題は、2.4.66 以前の Apache HTTP Server に影響を与えます。

    ユーザーには、この問題を修正したバージョンであるバージョン 2.4.67 へのアップグレードをお勧めします。(CVE-2026-34032)

    Apache HTTP Server のバッファオーバーリードの脆弱性。

    この問題は、2.4.66 以前の Apache HTTP Server に影響を与えます。

    ユーザーには、この問題を修正したバージョンであるバージョン 2.4.67 へのアップグレードをお勧めします。(CVE-2026-34059)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : httpd, httpd-core、httpd-devel (ALAS2023-2026-1720)

critical Nessus プラグイン ID 316833

バージョン 1.1