脆弱性修正

• CVE-2025-53020：Apache HTTP Server：メモリ使用量増加による HTTP/2 DoS。Apache HTTP Server における、有効期間経過後のメモリ解放遅延の脆弱性。この問題は、Apache HTTP Server 2.4.17 から 2.4.63 までのバージョンに影響します。この問題を修正したバージョン 2.4.64 へのアップグレードを推奨します。
• CVE-2025-49812：Apache HTTP Server：mod_ssl TLS アップグレード攻撃。Apache HTTP Serverバージョン 2.4.63 までの一部 mod_ssl 構成において、HTTP 非同期攻撃により中間者攻撃者が TLS アップグレードを介して HTTP セッションを乗っ取ることが可能です。影響を受けるのは、「SSLEngine optional」を使用して TLS アップグレードを有効にしている構成のみです。TLS アップグレードのサポートを削除するバージョン 2.4.64 へのアップグレードを推奨します。
• CVE-2025-49630: Apache HTTP Server: mod_proxy_http2 におけるサービス拒否攻撃。特定のプロキシ設定において、信頼できないクライアントが mod_proxy_http2 のアサーションを引き起こし、Apache HTTP Server バージョン 2.4.26 から 2.4.63 に対するサービス拒否攻撃を誘発する可能性があります。影響を受ける設定は、HTTP/2 バックエンドにリバースプロキシが設定され、ProxyPreserveHost が「on」に設定されていることです。
• CVE-2025-23048: Apache HTTP Server: セッション再開による mod_ssl アクセス制御バイパス。Apache HTTP Server 2.4.35 から 2.4.62 の一部 mod_ssl 構成では、TLS 1.3 セッション再開を使用して、信頼されたクライアントによるアクセス制御バイパスが可能です。mod_ssl が複数の仮想ホストに対して設定され、各仮想ホストがそれぞれ異なる信頼されたクライアント証明書セットに制限されている場合 (例えば、異なる SSLCACertificateFile/Path 設定)の構成で影響を受けます。このような場合、いずれかの仮想ホストで SSLStrictSNIVHostCheck が有効になっていないと、ある仮想ホストへのアクセスが信頼されているクライアントが、別の仮想ホストにアクセスできる可能性があります。
• CVE-2024-47252: Apache HTTP Server: mod_ssl エラーログ変数のエスケープ。Apache HTTP Server 2.4.63 以前の mod_ssl において、ユーザー提供データのエスケープ処理が不十分なため、一部の設定において、信頼できない SSL/TLS クライアントがログファイルにエスケープ文字を挿入できる可能性があります。SSL_TLS_SNI など、mod_ssl が提供する変数をログに記録するために CustomLog を “%{varname}x” または “%{varname}c” と共に使用するログ設定では、mod_log_config または mod_ssl のいずれによってもエスケープ処理が実行されず、クライアントから提供されたサニタイズされていないデータがログファイルに記録される可能性があります。
• CVE-2024-43394: Apache HTTP Server: UNC パスに起因する Windows 上の SSRF。Windows 上の Apache HTTP Server におけるサーバー側リクエストフォージェリ (SSRF) により、mod_rewrite または検証されていないリクエスト入力を渡す Apache 式を介して、悪意のあるサーバーに NTLM ハッシュが漏洩する可能性があります。この問題は、Apache HTTP Server 2.4.0 から 2.4.63 に影響します。注: Apache HTTP Server プロジェクトは、UNC パスを介した SSRF に関する脆弱性報告の受け入れ基準を引き上げます。サーバーは、管理者がサーバーに UNC パスを開くように指示することに対して限定的な保護を提供します。Windows サーバーは、NTLM 認証の性質に基づいて、SMB 経由で接続するホストを制限する必要があります。
• CVE-2024-43204: Apache HTTP Server: mod_headers による Content-Type ヘッダー設定における SSRF。mod_proxy がロードされた Apache HTTP Server の SSRF により、攻撃者は自身の管理下にある URL にプロキシリクエストを送信できます。この脆弱性を悪用するには、mod_headers が HTTP リクエストで指定された値を使用して Content-Type リクエストまたはレスポンスヘッダーを変更するという、想定外の設定が必要となります。この問題を修正したバージョン 2.4.64 へのアップグレードを推奨します。
• CVE-2024-42516：Apache HTTP Server：HTTP レスポンス分割。Apache HTTP Server のコア部分に存在する HTTP レスポンス分割により、サーバーでホストまたはプロキシされているアプリケーションの Content-Type レスポンスヘッダーを操作できる攻撃者が、HTTP レスポンスを分割できる可能性があります。この脆弱性は CVE-2023-38709 として報告されていますが、Apache HTTP Server 2.4.59 に含まれるパッチではこの問題は修正されていません。この問題を修正したバージョン 2.4.64 へのアップグレードを推奨します。

不具合修正

• mod_proxy_ajp: IO バッファサイズにはワーカーレベルで設定された iobuffersize を使用するようになりました。(PR 69402)
• mod_ssl: libssl でネイティブに有効化されている OpenSSL 3.5 ビルドにおいて、$SSLKEYLOGFILE の処理を内部的に削除するようになりました。
• mod_asis: メッセージ AH01236 のログレベルが修正されました。
• mod_session_dbd: SessionDBDCookieName および SessionDBDCookieName2 で使用されるフォーマットが正しいことを確認するようになりました。
• mod_headers: “RequestHeader set|edit|edit_r Content-Type X” は、Content-Type _response_ ヘッダーを誤って変更する可能性がありました。Content-Type のみに適用され、静的ファイルレスポンスにのみ影響する可能性がありました。
• mod_ssl: プロトコル選択前に SSL プロトコルの値が初期化されていない可能性があることに関する警告が削除されました。
• mod_proxy: 2.4.59 以前と同様に、可能な場合は ProxyRemote 接続を再利用するようになりました。
• mod_systemd: systemd ソケットアクティベーションのサポートが追加されました。
• mod_systemd: SELinux コンテキストが有効であれば、起動時にログに記録するようになりました。
• mod_http2: バージョン 2.0.32 のアップデートで、接続ウィンドウサイズを設定するコードが間違っていたため、H2WindowSize が動作しないようになっていました。この問題が修正されました。
• mod_http2: バージョン 2.0.30 のアップデート

– 長いレスポンスヘッダーの処理に関するバグを修正しました。nghttp2 の 64KB 制限を超えた場合、リクエストがリセットされず、クライアントが待機状態のままになっていました。ストリームがリセットされるようになりました。
– レスポンスヘッダーのサイズ制限を設定するための新しいディレクティブ H2MaxHeaderBlockLen が追加されました。
– 接続の最初のリクエストがリセットされた際の Timeout と KeepAliveTimeout の処理が修正されました。

• mod_lua: LuaOutputFilter のメモリ処理が修正されました。(PR 69590)
• mod_proxy_http2: バックエンド接続の切断を検出するために r1912193 を元に戻しました。この修正により、応答のないノードのバックエンド選択が妨げられていました。
• mod_proxy_balancer: URL 内のクエリパラメータとしてスティッキーセッションキーが指定された場合、スティッキーセッションキーが認識されなくなるリグレッションが修正されました。(PR 69443)
• mod_md: バージョン 2.5.2 のアップデート

– 複数の MDPrivateKeys で EC キーが RSA キーよりも先に指定されている場合に発生する TLS-ALPN-01 チャレンジが修正されました。
– ステータスページ出力で改行が欠落していた問題が修正されました。

• mod_dav: DavBasePath 設定を公開する API が追加されました。
• mod_md: バージョン 2.5.1 のアップデート

– 新しいディレクティブ MDProfile および MDProfileMandatory により、ACME プロファイルのサポートが追加されました。
– MDCACertificateFile 経由でカスタム CA ファイルをインストールする際、libcurl オプション CURLSSLOPT_NO_REVOKE も設定します。これにより、Schannel（curl がリンクされている場合）が証明書に CRL/OCSP が存在しないというエラーを出力しなくなります。
– 破損した httpd.json の処理を修正し、テスト 300_30 を追加しました。エラー発生時にファイルは削除され、再度書き込まれます。
– md_store.json を解析できず、サーバーの起動が妨げられていた場合の対処方法がログに追加されました。
– Apache SVN との同期で失われていた修正が復元されました。
– md-status ハンドラの証明書情報に Issue Name/URI が追加されました。
– 静的証明書ファイルを持つ MDomain では、”always” が設定されていない限り、MDRenewModeが “manual” になります。

• core: AllowOverride ディレクティブの解析時に、無効な Options= 引数が報告されるようになりました。
• scoreboard/mod_http2: HTTP/2 リクエストの所要時間を記録するようになりました。(PR 69579)

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4

不具合修正

* mod_dav: redirect-carefully の例の BrowserMatch の設定を更新し、より最近のクライアントのバージョンに合うように修正されました。(PR 66148、67039)

* mod_cache_socache: エラーパスでクラッシュする可能性がありました。この問題が修正されました。(PR 69358)

* mod_ssl: OpenSSL の初期化に失敗した場合、起動時にクリーンに失敗するようになりました。

* mod_md: バージョン 2.4.31 に更新されました。
– ACME サーバーによる、ドメインの検証待ちやオーダーの確定がタイムアウトなどで失敗した場合のエラー報告が改善されました。
– ACME サーバがドメイン名を検証し証明書を発行するまでの待ち時間が 30 秒から 5 分に増加されました。
– ステープリングが有効で、証明書に OCSP レスポンダ URL が含まれていない場合のログレベルが、エラーからデバッグに変更されました。

* mod_proxy_balancer: バランサマネージャによる stickysession 設定パラメータの処理が修正されました。(PR 69510)

* mod_authnz_ldap に ldap-search オプションを追加し、ユーザー名を含まない任意の式に基づいて認証できるようになりました。ldap 検索が長すぎる場合は、エラーを明示的にログに記録します。

* mod_proxy: ホスト名またはポートを置換した ProxyPassMatch ワーカーのパラメータを有効にするようになりました。(PR 69233)

* mod_log_config: LogFormat ディレクティブのマージが修正されました。(PR 65222)

* mod_lua: r.ap_auth_type が書き込み可能になりました。(PR 62497)

* mod_md: バージョン 2.4.29 に更新されました。
– 一部の ACME サーバが最後の改行を無視するため、HTTP-01 チャレンジが改行を持たないように修正されました。
– MDStapling が有効な場合に、サーバーステータスのプレーンテキスト出力で label+newline が欠落する問題が修正されました。

* mod_ssl: SSLCryptoDevice が設定されていない ENGINE 経由での PKCS#11 鍵の読み込みのサポートが戻りました。

* mod_authnz_ldap: AuthLDAPSubGroupAttribute ディレクティブが設定されている場合に メモリが破壊される可能性がありました。この問題が修正されました。

* mod_proxy_fcgi: SetHandler で SCRIPT_FILENAME を設定しても再エンコードしないようになりました。(PR 69203)

* mod_rewrite, mod_proxy: 「unix:」を含む、書き換えられた [P] URL を正規化するようになりました。(PR 69235, PR 69260)

* mod_rewrite: ディレクトリコンテキストの RewriteRule がプロキシを使う際に、mod_proxy がロードされていない場合はエラーとなるようになりました。(PR 56264)

* http: Navigator 2-3 と MSIE 3 が送る Request-Range ヘッダのサポートが削除されました。

* mod_rewrite: [UNC] フラグを不要にし、置換に perdir 接頭辞を適用することで付加される // の先頭を保持するようになりました。

* Windows: UNC パスで構成ファイルを “Include” する機能が戻りました。(PR 69313)

* mod_proxy: <Location> 内の SetHandler “unix:” URL の AH01059 解析エラーを回避するように修正されました(2.4.62 では不完全な修正でした)。(PR 69160)

* mod_md: バージョン 2.4.28 に更新されました。
– サーバーが起動すると、アクティブ化する新しいステージングされた証明書を探します。 ‘md/staging/<domain>’ 内のステージングされたファイル セットが混乱していると、それ以上の更新が行われなくなる可能性があります。ステージング セットが存在するが、エラーのためにアクティブ化できなかった場合は、ディレクトリ全体を消去します。
– ACME 更新時の証明書取得を修正し、ACME CA から返される ‘Location:’ ヘッダーを必要としないようにします。これは、IETF 標準になる前の ACME で実行されていた方法です。Let’s Encrypt は引き続きこれをサポートしていますが、他の CA はサポートしていません。
– OpenSSL < 1.1 との互換性を復元します。

* mod_tls: 実験的なモジュールを削除しました。現在は https://github.com/icing/mod_tls からスタンドアロンで利用できます。 rustls が提供する API は安定しておらず、httpd のリリース サイクルと一致していません。

* mod_rewrite: UnsafeAllow3F を回避するための疑問符の追跡を改善しました。(PR 69197)

* mod_http2: クライアントの更新をブロックするときに、接続の監視をイベント MPM に戻すようになりました。

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4