Apache 2.4.x < 2.4.68 の複数の脆弱性
high Nessus プラグイン ID 319665
Language:
概要
リモートのウェブサーバーは複数の脆弱性の影響を受けます。説明
リモートホストにインストールされている Apache httpd のバージョンは、2.4.68 より前です。したがって、2.4.68 のアドバイザリに記載されている複数の脆弱性の影響を受けます。- HTTP/2 Bomb としても知られる CVE-2026-49975 は、nginx、Apache httpd、Microsoft IIS、Envoy、Cloudflare Pingor を含むほとんどの主要な Web サーバーを対象としたリモートのサービス拒否攻撃です。脆弱な動作は、各サーバーのデフォルトの HTTP/2 構成(CVE-2026-49975)に存在します
- mod_xml2enc ヒープオーバーフロー:mod_xml2enc、xml2StartParse、および信頼できないコンテンツApache HTTP Server におけるヒープベースのバッファオーバーフローの脆弱性 この問題は、 2.4.0 から 2.4.67 までの Apache HTTP Server に影響を与えます。ユーザーには、この問題を修正したバージョンであるバージョン 2.4.68 へのアップグレードをお勧めします。
謝辞: finder: Zhenpeng (Leo) Lin at depthfirst (CVE-2026-42536)
- 「merge_response_headers」での OOB 読み取りにより、クラッシュを引き起こす可能性があります:mod_headersとmod_mime、複数の応答言語Apache HTTP Server における領域外読み取りの脆弱性。この問題は Apache HTTP Server 2.4.0 ～ 2.4.67 に影響します。謝辞: finder: Zhenpeng (Leo) Lin at depthfirst (CVE-2026-43951)
- 複数のモジュールの .htaccess 内の式を通じた権限の昇格:Apache HTTP Server 2.4.67 以前の不適切な権限管理の脆弱性により、ローカルの .htaccess 作成者が、httpd ユーザーの権限でファイルを読み取る可能性があります。この問題は Apache HTTP Server 2.4.67 以降に影響します。
ユーザーには、この問題を修正したバージョンであるバージョン 2.4.68 へのアップグレードをお勧めします。謝辞:
(CVE-2026-44119)
- mod_ssl OCSPのスタックバッファオーバーリード「send_request」:攻撃者が制御するOCSPサーバーへのアウトバウンドOCSPリクエストを介したApache HTTPサーバーのバッファオーバーリードの脆弱性:この問題は、 2.4.0 から 2.4.67までのApache HTTPサーバーに影響します。ユーザーには、この問題を修正したバージョンであるバージョン 2.4.68 へのアップグレードをお勧めします。謝辞: finder: Zhenpeng (Leo) Lin at depthfirst (CVE-2026-44185)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Apache バージョン 2.4.68 以降にアップグレードしてください。プラグインの詳細
深刻度: High
ID: 319665
ファイル名: apache_2_4_68.nasl
バージョン: 1.2
タイプ: Combined
エージェント: windows, macosx, unix
ファミリー: Web Servers
公開日: 2026/6/8
更新日: 2026/6/9
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.3
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 6.1
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2026-49975
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2026-44631
CVSS v4
リスクファクター: High
Base Score: 8.7
Threat Score: 7.7
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
脆弱性情報
CPE: cpe:/a:apache:http_server, cpe:/a:apache:httpd
必要な KB アイテム: installed_sw/Apache
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/6/8
脆弱性公開日: 2026/2/23
参照情報
CVE: CVE-2026-29167, CVE-2026-29170, CVE-2026-34355, CVE-2026-34356, CVE-2026-42535, CVE-2026-42536, CVE-2026-43951, CVE-2026-44119, CVE-2026-44185, CVE-2026-44186, CVE-2026-44631, CVE-2026-48913, CVE-2026-49975