脆弱性修正

• CVE-2026-49975: mod_http2 サービス運用妨害 (DoS)。Apache HTTP Server の mod_http における過大なサイズ値によるメモリ割り当ての脆弱性により、悪意のある HTTP リクエストを介してサービス運用妨害（DoS）が引き起こされる可能性があります。この問題は Apache HTTP Server 2.4.17 から 2.4.67 まで影響します。
• CVE-2026-48913: ファイルハンドル枯渇時における mod_http2 のメモリ破損。ファイルハンドルがすでに枯渇している際、Apache HTTP Server モジュール mod_http2 において使用中メモリ解放（Use After Free）の脆弱性が発生します。この問題は Apache HTTP Server 2.4.55 から 2.4.67 まで影響します。
• CVE-2026-44631: 符号付き文字のオーバーフローを介した ap_regname におけるヒープアンダーフロー。設定ファイル内の細工された正規表現により、Apache HTTP Server にバッファアンダーライト（境界未満への書き込み）の脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-44186: mod_proxy_ftp の proxy_ftp_handler における無限ループ。攻撃者が制御するバックエンド FTP サーバーを利用することで、Apache HTTP Server の mod_proxy_ftp モジュールにおいて到達不能な脱出条件（無限ループ）の脆弱性が存在します。この問題は 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-44185: mod_ssl OCSP send_request におけるスタックバッファの過剰読み取り。攻撃者が制御する OCSP サーバーへのアウトバウンド OCSP リクエストを介して、Apache HTTP Server にバッファ過剰読み取りの脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-44119: 複数モジュールの .htaccess 内の式を介した権限昇格。Apache HTTP Server 2.4.67 以前において、不適切な権限管理の脆弱性により、ローカルの .htaccess 作成者が httpd ユーザーの権限でファイルを読み取れる可能性があります。この問題は 2.4.67 以前に影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-43951: merge_response_headers における領域外読み取り（OOB Read）によるクラッシュの可能性。mod_headers と mod_mime を使用し、複数のレスポンス言語が設定されている環境において、Apache HTTP Server に領域外読み取りの脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。
• CVE-2026-42536: mod_xml2enc のヒープオーバーフロー。信頼されていないコンテンツ、xml2StartParse、および mod_xml2enc を使用する環境において、Apache HTTP Server にヒープベースのバッファオーバーフローの脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-42535: mod_dav_fs の保護されたディレクトリへのアクセス。Apache 2.4.67 以前の mod_dav_fs におけるパス処理の問題により、WebDAV コンテンツの作成者が信頼された DAV プロパティデータベースを直接操作し、子プロセスをクラッシュさせる可能性があります。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-34356: ProxyPassReverseCookieMap のバッファオーバーフロー。悪意のあるバックエンドサーバーと ProxyPassReverseCookie* の組み合わせにおいて、Apache HTTP Server にヒープベースのバッファオーバーフローの脆弱性が存在します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-34355: mod_proxy_html のバッファオーバーフロー。Apache HTTP Server 2.4.67 以前の mod_proxy_html において、信頼されていないバックエンドからの攻撃を許すバッファオーバーフローの脆弱性が存在します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-29170: mod_proxy_ftp のクロスサイトスクリプティング（XSS）。正方向（フォワード）または逆方向（リバース）プロキシ構成で FTP ディレクトリコンテンツをリスト表示する際、Apache HTTP Server 2.4.67 以前の mod_proxy_ftp が生成する HTML ディレクトリリストにクロスサイトスクリプティングの脆弱性が存在します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。
• CVE-2026-29167: パーディレクトリ（ディレクトリ単位）構成における mod_ldap の使用中メモリ解放（Use After Free）。ディレクトリ単位の構成で mod_ldap を使用している際、Apache HTTP Server に使用中メモリ解放の脆弱性が発生します。この問題は Apache HTTP Server 2.4.0 から 2.4.67 まで影響します。この問題を修正したバージョン 2.4.68 へのアップグレードを推奨します。

不具合修正

• mod_ssl, ab: OpenSSL 4.0 のサポートが追加されました。
• mod_ssl: SSL 識別名（DN）変数として、SerialNumber が認識可能な属性タイプとして追加されました。
• mod_ssl: クライアント証明書認証が実行された際、認証タイプ（auth type）に “ClientCert” が設定されるようになりました。
• mod_include: 条件評価がエラーを返した際、if/elsif/else のコンテンツを一切出力しないよう修正されました。
• mod_unixd: FreeBSD 11 以降において、CoreDumpDirectory の利用にトレース（tracing）の有効化が必要になりました（PR 65819）。
• mod_file_cache: スレッド化された MPM 環境下における、mmap されたファイルのクラッシュが修正されました（PR 69901）。
• core: ErrorLogFormat において、従来のマイクロ秒（%{u}t）だけでなく、ミリ秒単位で時間を記録できる %{m}t が新たに利用可能になりました。
• mod_unixd: chroot 構成において、有効ユーザー ID（EUID）がゼロであるかどうかのテスト（チェック）が削除されました（PR 69767）。
• mod_proxy_balancer: XML 出力にノンス（nonce）が含まれるよう修正されました（PR 63074）。
• mod_http2: バージョン 2.0.42 にアップデートされました。非 TLS のフロントエンド接続でファイルを送信する際、ファイル記述子（ファイルディスクリプタ）を過剰に消費する問題が修正されました。
• mod_http2: バージョン 2.0.41 にアップデートされました。LimitRequestFields に対するクッキーヘッダーのカウント処理が修正されました。
• mod_http2: バージョン 2.0.40 にアップデートされました。アップロードリクエストの処理中にサーバーのファイルハンドルが枯渇した際のエラー処理が修正されました。これにより、beam bucket のコールバックが残ってしまい、無効になった参照を呼び出す可能性があった問題が解消されました。この問題は、パイプライン処理が存在し、かつネットワークサーバーとして適切でないレベルでファイル記述子が制限されているプラットフォームにのみ適用されます。
• mod_dav_fs: リソースがすでに存在しないことが原因で削除に失敗した場合、DELETE リクエストに対して 404 を返すよう修正されました（PR 60746）。
• mod_proxy_hcheck: 更新中に子プロセスが再起動したことが原因で、ヘルスチェックが非有効化されてしまう問題が修正されました。

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4

脆弱性修正

• CVE-2026-34059: Apache HTTP Server: mod_proxy_ajp: ajp_parse_data() におけるヒープ領域の過剰読み取りおよびメモリ情報漏洩。Apache HTTP Server の mod_proxy_ajp におけるバッファ過剰読み取りの脆弱性です。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-34032: Apache HTTP Server: mod_proxy_ajp: NULL 終端チェック不足によるヒープバッファ過剰読み取り (ajp_msg_get_string)。Apache HTTP Server における不適切な NULL 終端処理および領域外読み取りの脆弱性です。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-33857: Apache HTTP Server: AJP 取得関数における Off-by-one の領域外読み取り。Apache HTTP Server の mod_proxy_ajp における領域外読み取りの脆弱性です。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-33523: Apache HTTP Server: 複数モジュールにおける HTTP レスポンス分割攻撃（悪意あるステータス行の転送）。信頼されていない、または侵害されたバックエンドサーバーを利用する複数の Apache HTTP Server モジュールにおいて、HTTP レスポンス分割の脆弱性が存在します。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-33007: Apache HTTP Server: mod_authn_socache クラッシュ。Apache HTTP Server 2.4.66 以前の mod_authn_socache における NULL ポインタ参照により、キャッシュフォワードプロキシ構成で認証されていないリモートユーザーが子プロセスをクラッシュさせる可能性があります。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-33006: Apache HTTP Server: mod_auth_digest タイミング攻撃。Apache HTTP Server 2.4.66 の mod_auth_digest に対するタイミング攻撃により、リモート攻撃者が Digest 認証を回避できる可能性があります。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-29169: Apache HTTP Server: mod_dav_lock 間接ロックによるクラッシュ。Apache HTTP Server 2.4.66 以前の mod_dav_lock における NULL ポインタ参照により、攻撃者が悪意のあるリクエストでサーバーをクラッシュさせる可能性があります。mod_dav_lock は mod_dav や mod_dav_fs では内部利用されておらず、既知の利用例は Apache Subversion 1.2.0 より前の mod_dav_svn のみです。この問題を修正したバージョン 2.4.67 へのアップグレード、または mod_dav_lock の削除を推奨します。
• CVE-2026-29168: Apache HTTP Server: mod_md における無制限な OCSP 応答処理。Apache HTTP Server の mod_md において、OCSP 応答データ経由でリソース制限やスロットリングが行われない脆弱性が存在します。この問題は Apache HTTP Server 2.4.30 から 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-28780: Apache HTTP Server: ajp_msg_check_header() を介した mod_proxy_ajp のバッファオーバーフロー。Apache HTTP Server の mod_proxy_ajp におけるヒープベースのバッファオーバーフロー脆弱性です。mod_proxy_ajp が悪意のある AJP サーバーへ接続した場合、そのサーバーが細工した AJP メッセージを返すことで、ヒープバッファ終端後に攻撃者制御の 4 バイトを書き込ませる可能性があります。この問題は Apache HTTP Server 2.4.66 まで影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-24072: Apache HTTP Server: mod_rewrite における ap_expr 経由の権限昇格。Apache HTTP Server 2.4.66 以前の複数モジュールにおいて、ローカルの .htaccess 作成者が httpd ユーザー権限でファイルを読み取れる可能性があります。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。
• CVE-2026-23918: Apache HTTP Server: HTTP/2 における二重解放および早期リセット時の RCE の可能性。Apache HTTP Server の HTTP/2 プロトコル実装において、二重解放およびリモートコード実行 (RCE) の可能性がある脆弱性です。この問題は Apache HTTP Server 2.4.66 に影響します。この問題を修正したバージョン 2.4.67 へのアップグレードを推奨します。

不具合修正

• mod_md: バージョン 2.6.10 にアップデート

– 証明書更新が完了したと記録されているものの、必要な結果ファイルが生成されていない問題(Issue #420 https://github.com/icing/mod_md/issues/420 ) について、job.json ファイルを無視するよう修正されました。

• mod_http2: バージョン 2.0.39 にアップデート

– サードパーティ製モジュールとの組み合わせで発生していたメモリ問題の報告を受け、ストリーム独自のメモリアロケータが削除されました。

• mod_http2: バージョン 2.0.38 にアップデート

– mod_h2 GitHub リポジトリとのソース同期が行われました。機能的な変更はありません。

• conf/mime.types 更新

– vnd.sqlite3、HEIC、HEIF の MIME タイプが追加されました。

• mod_md: バージョン 2.6.7 にアップデート

– MDStapleOthers の回帰不具合が修正されました。この問題は v2.6.0 で発生し、設定内容に関係なく適用されなくなっていました。

• mod_md: バージョン 2.6.9 にアップデート

– Pebble 2.9 以降で利用規約同意が未設定時に返される別エラーに対応し、すべての userActionRequired エラーを恒久的エラーとして扱うよう修正されました。

• mod_md: バージョン 2.6.8 にアップデート

– ACME オーダー作成時の ARI 関連 replaces プロパティについて、CA が ARI をサポートし、かつ設定で有効な場合のみ使用するよう修正されました。
– apr_cstr_casecmp を持たない APR 1.6.0 未満との互換性が修正され、代わりに apr_strnatcasecmp を利用するようになりました。

• mod_http2: バージョン 2.0.37 にアップデート

– ストリームの二重パージによる二重解放を防止するよう修正されました。(PR 69899)

• mod_md: APR 1.6.0 未満向けビルド時に、正しい関数名を使用するよう修正されました。(PR 69954)

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4

脆弱性修正

• CVE-2025-66200: Apache HTTP Server: mod_userdir+suexec バイパス (AllowOverride FileInfo 経由)。
  Apache HTTP Server における mod_userdir+suexec の AllowOverride FileInfo 脆弱性によるバイパス。htaccess で RequestHeader ディレクティブを使用できるユーザーは、一部の CGI スクリプトを予期しないユーザー ID で実行させる可能性があります。この問題は、Apache HTTP Server 2.4.7 から 2.4.65 までに影響します。
• CVE-2025-65082: Apache HTTP Server: CGI 環境変数の上書き。
  Apache HTTP サーバーにおけるエスケープシーケンス、メタシーケンス、または制御シーケンスの不適切な無効化に関する脆弱性。これは、Apache 設定を介して設定された環境変数が、サーバーが CGI プログラム用に計算した変数を予期せず上書きすることによって発生します。この問題は、Apache HTTP Server 2.4.0 から 2.4.65 までに影響します。
• CVE-2025-59775: Apache HTTP Server: UNC SSRF を介した Windows での NTLM 漏洩。
  Windows 版 Apache HTTP Server において、AllowEncodedSlashes が有効かつ MergeSlashes が無効になっている場合、SSRF と悪意のあるリクエストまたはコンテンツを介して、NTLM ハッシュが悪意のあるサーバーに漏洩する可能性のあるサーバーサイドリクエストフォージェリ (SSRF) の脆弱性が存在します。
• CVE-2025-58098: Apache HTTP Server: Server Side Include が #exec cmd=… にクエリ文字列を追加する。
  Apache HTTP Server 2.4.65 以前で Server Side Include (SSI) が有効になっており、mod_cgid (mod_cgi は無効) がシェルエスケープされたクエリ文字列を #exec cmd=”…” ディレクティブに渡します。この問題は Apache HTTP Server 2.4.66 より前のバージョンに影響します。
• CVE-2025-55753: Apache HTTP Server: mod_md(ACME)、意図しない再試行間隔。
  ACME 証明書の更新に失敗した際に発生する整数オーバーフローにより、一定回数（デフォルト設定で約30日間）更新が失敗すると、バックオフタイマーが 0 になります。その後、証明書の更新は成功するまで遅延なく繰り返されます。この問題は Apache HTTP Server 2.4.30 以降、2.4.66 以前で発生します。

不具合修正

• mod_http2: mod_cache からの 304 レスポンスの処理が修正されました。(PR 69580)
• mod_http2/mod_proxy_http2: プッシュダイアリーとプロキシウィンドウサイズの計算で使用される整数の log2 値の計算に関するバグが修正されました。(PR 69741)
• mod_md: バージョン 2.6.5 にアップデート
  – サーバーの再起動後、証明書の更新チェックを行うまでの待機時間を制御するための新しい MDInitialDelay ディレクティブが追加されました。
  – 強化: OpenSSL 1.0.2 より前のバージョン、または古いバージョンの libressl でビルドした場合、ASN.1 時刻文字列の解析で長さチェックが行われていませんでした。
  – 強化: ローカル JSON ストアに保存された OCSP 応答を読み戻す際に、「valid」キーが見つからないと値が初期化されず、誤った更新動作が発生していました。
• mod_md: バージョン 2.6.6 にアップデート
  – OpenSSL の BIGNUM 使用時に発生する小さなメモリリークが修正されました。
  – curl の easy ハンドルの再利用をリセットすることで修正されました。
• mod_http2: バージョン 2.0.35 にアップデート
  – 接続を閉じる前にクライアントの不正な動作をどの程度許容するかを制御するための新しい H2MaxStreamErrors ディレクティブが追加されました。
• mod_proxy_http2: ProxyErrorOverride ディレクティブのサポートが追加されました。(PR 69771)
• mpm_common: listen ソケットの TCP_DEFER_ACCEPT ソケットオプションの値を指定できる新しい ListenTCPDeferAccept ディレクティブが追加されました。
• mod_ssl: 仮想ホスト互換性ポリシーを制御する SSLVHostSNIPolicy ディレクティブが追加されました。(PR 69743)
• mod_md: バージョン 2.6.2 にアップデート
  – エラー再試行遅延の計算を修正し、最初のエラー発生時に待機時間が倍増しないようにされました。
• mod_md: バージョン 2.6.1 に アップデート
  – ACME CA の更新エラー時に発生するバースト的なトラフィックを軽減するため、デフォルトの MDRetryDelay が 30 秒に増やされました。これにより、エラー再試行の間隔は 30 秒、1 分、2 分、4 分などから、最大で毎日試行できるようになります。
  – MDRetryDelay の設定で、有効な期間になることを確認しました。遅延時間が 0 は受け入れられません。
  – ACME サーバーからの応答の Content-Type チェックに関するバグが修正されました。
  – モジュールに ACME ARI サポート (rfc9773) が追加されました。デフォルトで有効です。これを制御する新しい MDRenewViaARI on|off ディレクティブが追加されました。
  – tailscale のサポートが削除されました。これは、同社が API の変更を決定したため、長い間機能していませんでした。デッドコード、ドキュメント、テストは廃止しました。
  – libcurl のプレインダストリアルバージョンでのコンパイル問題が修正されました。

詳細は以下をご覧ください。
https://downloads.apache.org/httpd/CHANGES_2.4

脆弱性修正

• CVE-2025-54090: Apache HTTP Server: 2.4.64 では「RewriteCond expr」が常に true と評価される。Apache HTTP Server 2.4.64 のバグにより、「RewriteCond expr …」テストがすべて true と評価されます。この問題が修正されたバージョン 2.4.65 へのアップグレードを推奨します。

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4

脆弱性修正

• CVE-2025-53020：Apache HTTP Server：メモリ使用量増加による HTTP/2 DoS。Apache HTTP Server における、有効期間経過後のメモリ解放遅延の脆弱性。この問題は、Apache HTTP Server 2.4.17 から 2.4.63 までのバージョンに影響します。この問題を修正したバージョン 2.4.64 へのアップグレードを推奨します。
• CVE-2025-49812：Apache HTTP Server：mod_ssl TLS アップグレード攻撃。Apache HTTP Serverバージョン 2.4.63 までの一部 mod_ssl 構成において、HTTP 非同期攻撃により中間者攻撃者が TLS アップグレードを介して HTTP セッションを乗っ取ることが可能です。影響を受けるのは、「SSLEngine optional」を使用して TLS アップグレードを有効にしている構成のみです。TLS アップグレードのサポートを削除するバージョン 2.4.64 へのアップグレードを推奨します。
• CVE-2025-49630: Apache HTTP Server: mod_proxy_http2 におけるサービス拒否攻撃。特定のプロキシ設定において、信頼できないクライアントが mod_proxy_http2 のアサーションを引き起こし、Apache HTTP Server バージョン 2.4.26 から 2.4.63 に対するサービス拒否攻撃を誘発する可能性があります。影響を受ける設定は、HTTP/2 バックエンドにリバースプロキシが設定され、ProxyPreserveHost が「on」に設定されていることです。
• CVE-2025-23048: Apache HTTP Server: セッション再開による mod_ssl アクセス制御バイパス。Apache HTTP Server 2.4.35 から 2.4.62 の一部 mod_ssl 構成では、TLS 1.3 セッション再開を使用して、信頼されたクライアントによるアクセス制御バイパスが可能です。mod_ssl が複数の仮想ホストに対して設定され、各仮想ホストがそれぞれ異なる信頼されたクライアント証明書セットに制限されている場合 (例えば、異なる SSLCACertificateFile/Path 設定)の構成で影響を受けます。このような場合、いずれかの仮想ホストで SSLStrictSNIVHostCheck が有効になっていないと、ある仮想ホストへのアクセスが信頼されているクライアントが、別の仮想ホストにアクセスできる可能性があります。
• CVE-2024-47252: Apache HTTP Server: mod_ssl エラーログ変数のエスケープ。Apache HTTP Server 2.4.63 以前の mod_ssl において、ユーザー提供データのエスケープ処理が不十分なため、一部の設定において、信頼できない SSL/TLS クライアントがログファイルにエスケープ文字を挿入できる可能性があります。SSL_TLS_SNI など、mod_ssl が提供する変数をログに記録するために CustomLog を “%{varname}x” または “%{varname}c” と共に使用するログ設定では、mod_log_config または mod_ssl のいずれによってもエスケープ処理が実行されず、クライアントから提供されたサニタイズされていないデータがログファイルに記録される可能性があります。
• CVE-2024-43394: Apache HTTP Server: UNC パスに起因する Windows 上の SSRF。Windows 上の Apache HTTP Server におけるサーバー側リクエストフォージェリ (SSRF) により、mod_rewrite または検証されていないリクエスト入力を渡す Apache 式を介して、悪意のあるサーバーに NTLM ハッシュが漏洩する可能性があります。この問題は、Apache HTTP Server 2.4.0 から 2.4.63 に影響します。注: Apache HTTP Server プロジェクトは、UNC パスを介した SSRF に関する脆弱性報告の受け入れ基準を引き上げます。サーバーは、管理者がサーバーに UNC パスを開くように指示することに対して限定的な保護を提供します。Windows サーバーは、NTLM 認証の性質に基づいて、SMB 経由で接続するホストを制限する必要があります。
• CVE-2024-43204: Apache HTTP Server: mod_headers による Content-Type ヘッダー設定における SSRF。mod_proxy がロードされた Apache HTTP Server の SSRF により、攻撃者は自身の管理下にある URL にプロキシリクエストを送信できます。この脆弱性を悪用するには、mod_headers が HTTP リクエストで指定された値を使用して Content-Type リクエストまたはレスポンスヘッダーを変更するという、想定外の設定が必要となります。この問題を修正したバージョン 2.4.64 へのアップグレードを推奨します。
• CVE-2024-42516：Apache HTTP Server：HTTP レスポンス分割。Apache HTTP Server のコア部分に存在する HTTP レスポンス分割により、サーバーでホストまたはプロキシされているアプリケーションの Content-Type レスポンスヘッダーを操作できる攻撃者が、HTTP レスポンスを分割できる可能性があります。この脆弱性は CVE-2023-38709 として報告されていますが、Apache HTTP Server 2.4.59 に含まれるパッチではこの問題は修正されていません。この問題を修正したバージョン 2.4.64 へのアップグレードを推奨します。

不具合修正

• mod_proxy_ajp: IO バッファサイズにはワーカーレベルで設定された iobuffersize を使用するようになりました。(PR 69402)
• mod_ssl: libssl でネイティブに有効化されている OpenSSL 3.5 ビルドにおいて、$SSLKEYLOGFILE の処理を内部的に削除するようになりました。
• mod_asis: メッセージ AH01236 のログレベルが修正されました。
• mod_session_dbd: SessionDBDCookieName および SessionDBDCookieName2 で使用されるフォーマットが正しいことを確認するようになりました。
• mod_headers: “RequestHeader set|edit|edit_r Content-Type X” は、Content-Type _response_ ヘッダーを誤って変更する可能性がありました。Content-Type のみに適用され、静的ファイルレスポンスにのみ影響する可能性がありました。
• mod_ssl: プロトコル選択前に SSL プロトコルの値が初期化されていない可能性があることに関する警告が削除されました。
• mod_proxy: 2.4.59 以前と同様に、可能な場合は ProxyRemote 接続を再利用するようになりました。
• mod_systemd: systemd ソケットアクティベーションのサポートが追加されました。
• mod_systemd: SELinux コンテキストが有効であれば、起動時にログに記録するようになりました。
• mod_http2: バージョン 2.0.32 のアップデートで、接続ウィンドウサイズを設定するコードが間違っていたため、H2WindowSize が動作しないようになっていました。この問題が修正されました。
• mod_http2: バージョン 2.0.30 のアップデート

– 長いレスポンスヘッダーの処理に関するバグを修正しました。nghttp2 の 64KB 制限を超えた場合、リクエストがリセットされず、クライアントが待機状態のままになっていました。ストリームがリセットされるようになりました。
– レスポンスヘッダーのサイズ制限を設定するための新しいディレクティブ H2MaxHeaderBlockLen が追加されました。
– 接続の最初のリクエストがリセットされた際の Timeout と KeepAliveTimeout の処理が修正されました。

• mod_lua: LuaOutputFilter のメモリ処理が修正されました。(PR 69590)
• mod_proxy_http2: バックエンド接続の切断を検出するために r1912193 を元に戻しました。この修正により、応答のないノードのバックエンド選択が妨げられていました。
• mod_proxy_balancer: URL 内のクエリパラメータとしてスティッキーセッションキーが指定された場合、スティッキーセッションキーが認識されなくなるリグレッションが修正されました。(PR 69443)
• mod_md: バージョン 2.5.2 のアップデート

– 複数の MDPrivateKeys で EC キーが RSA キーよりも先に指定されている場合に発生する TLS-ALPN-01 チャレンジが修正されました。
– ステータスページ出力で改行が欠落していた問題が修正されました。

• mod_dav: DavBasePath 設定を公開する API が追加されました。
• mod_md: バージョン 2.5.1 のアップデート

– 新しいディレクティブ MDProfile および MDProfileMandatory により、ACME プロファイルのサポートが追加されました。
– MDCACertificateFile 経由でカスタム CA ファイルをインストールする際、libcurl オプション CURLSSLOPT_NO_REVOKE も設定します。これにより、Schannel（curl がリンクされている場合）が証明書に CRL/OCSP が存在しないというエラーを出力しなくなります。
– 破損した httpd.json の処理を修正し、テスト 300_30 を追加しました。エラー発生時にファイルは削除され、再度書き込まれます。
– md_store.json を解析できず、サーバーの起動が妨げられていた場合の対処方法がログに追加されました。
– Apache SVN との同期で失われていた修正が復元されました。
– md-status ハンドラの証明書情報に Issue Name/URI が追加されました。
– 静的証明書ファイルを持つ MDomain では、”always” が設定されていない限り、MDRenewModeが “manual” になります。

• core: AllowOverride ディレクティブの解析時に、無効な Options= 引数が報告されるようになりました。
• scoreboard/mod_http2: HTTP/2 リクエストの所要時間を記録するようになりました。(PR 69579)

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4

不具合修正

* mod_dav: redirect-carefully の例の BrowserMatch の設定を更新し、より最近のクライアントのバージョンに合うように修正されました。(PR 66148、67039)

* mod_cache_socache: エラーパスでクラッシュする可能性がありました。この問題が修正されました。(PR 69358)

* mod_ssl: OpenSSL の初期化に失敗した場合、起動時にクリーンに失敗するようになりました。

* mod_md: バージョン 2.4.31 に更新されました。
– ACME サーバーによる、ドメインの検証待ちやオーダーの確定がタイムアウトなどで失敗した場合のエラー報告が改善されました。
– ACME サーバがドメイン名を検証し証明書を発行するまでの待ち時間が 30 秒から 5 分に増加されました。
– ステープリングが有効で、証明書に OCSP レスポンダ URL が含まれていない場合のログレベルが、エラーからデバッグに変更されました。

* mod_proxy_balancer: バランサマネージャによる stickysession 設定パラメータの処理が修正されました。(PR 69510)

* mod_authnz_ldap に ldap-search オプションを追加し、ユーザー名を含まない任意の式に基づいて認証できるようになりました。ldap 検索が長すぎる場合は、エラーを明示的にログに記録します。

* mod_proxy: ホスト名またはポートを置換した ProxyPassMatch ワーカーのパラメータを有効にするようになりました。(PR 69233)

* mod_log_config: LogFormat ディレクティブのマージが修正されました。(PR 65222)

* mod_lua: r.ap_auth_type が書き込み可能になりました。(PR 62497)

* mod_md: バージョン 2.4.29 に更新されました。
– 一部の ACME サーバが最後の改行を無視するため、HTTP-01 チャレンジが改行を持たないように修正されました。
– MDStapling が有効な場合に、サーバーステータスのプレーンテキスト出力で label+newline が欠落する問題が修正されました。

* mod_ssl: SSLCryptoDevice が設定されていない ENGINE 経由での PKCS#11 鍵の読み込みのサポートが戻りました。

* mod_authnz_ldap: AuthLDAPSubGroupAttribute ディレクティブが設定されている場合に メモリが破壊される可能性がありました。この問題が修正されました。

* mod_proxy_fcgi: SetHandler で SCRIPT_FILENAME を設定しても再エンコードしないようになりました。(PR 69203)

* mod_rewrite, mod_proxy: 「unix:」を含む、書き換えられた [P] URL を正規化するようになりました。(PR 69235, PR 69260)

* mod_rewrite: ディレクトリコンテキストの RewriteRule がプロキシを使う際に、mod_proxy がロードされていない場合はエラーとなるようになりました。(PR 56264)

* http: Navigator 2-3 と MSIE 3 が送る Request-Range ヘッダのサポートが削除されました。

* mod_rewrite: [UNC] フラグを不要にし、置換に perdir 接頭辞を適用することで付加される // の先頭を保持するようになりました。

* Windows: UNC パスで構成ファイルを “Include” する機能が戻りました。(PR 69313)

* mod_proxy: <Location> 内の SetHandler “unix:” URL の AH01059 解析エラーを回避するように修正されました(2.4.62 では不完全な修正でした)。(PR 69160)

* mod_md: バージョン 2.4.28 に更新されました。
– サーバーが起動すると、アクティブ化する新しいステージングされた証明書を探します。 ‘md/staging/<domain>’ 内のステージングされたファイル セットが混乱していると、それ以上の更新が行われなくなる可能性があります。ステージング セットが存在するが、エラーのためにアクティブ化できなかった場合は、ディレクトリ全体を消去します。
– ACME 更新時の証明書取得を修正し、ACME CA から返される ‘Location:’ ヘッダーを必要としないようにします。これは、IETF 標準になる前の ACME で実行されていた方法です。Let’s Encrypt は引き続きこれをサポートしていますが、他の CA はサポートしていません。
– OpenSSL < 1.1 との互換性を復元します。

* mod_tls: 実験的なモジュールを削除しました。現在は https://github.com/icing/mod_tls からスタンドアロンで利用できます。 rustls が提供する API は安定しておらず、httpd のリリース サイクルと一致していません。

* mod_rewrite: UnsafeAllow3F を回避するための疑問符の追跡を改善しました。(PR 69197)

* mod_http2: クライアントの更新をブロックするときに、接続の監視をイベント MPM に戻すようになりました。

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4

脆弱性修正

* CVE-2024-40898: Apache HTTP Server: Windows 上での server/vhost コンテキストでの mod_rewrite による SSRF。server/vhost で mode_rewrite を使用している Windows 上の Apache HTTP Server の SSRF により、NTML ハッシュが SSRF と悪意のあるリクエスト経由で悪意のあるサーバにリークする可能性がありました。この問題が修正されているバージョン 2.4.62 にアップグレードすることが推奨されます。(CVE-2024-40898)

* CVE-2024-40725: Apache HTTP Server: AddType により設定されたハンドラによるソースコードの公開。Apache HTTP Server 2.4.61 の core での CVE-2024-39884 に対する部分的な修正では、古い content-type ベースのハンドラの設定の使用方法が少々無視されていました。”AddType” や同様の設定では、ファイルが間接的に要求される環境下では、ローカルのコンテンツのソースコード公開に至ってしまう場合がありました。例えば、PHP スクリプトがプログラムとして解釈されず、そのまま提示されてしまう可能性がありました。この問題が修正されているバージョン 2.4.62 にアップグレードすることが推奨されます。(CVE-2024-40725)

不具合修正

* mod_proxy: SetHandler を使用して設定された “balancer:” URL についての正規化と FCGI env (PATH_INFO, SCRIPT_NAME) が修正され、BlanacerMember による “unix:” ソケットも可能となりました。(PR 69168)

* mod_proxy: SetHandler “unix:” URL についての AH01059 パーシングエラーが回避されるようになりました。(PR 69160)

* mod_ssl: OpenSSL 3.2 を使用する PKCS#11 ENGINE のサポートでのクラッシュが修正されました。

* mod_ssl: OpenSSL 3.x プロバイダによる pkcs11: URI からの証明書/鍵のロードがサポートされました。

* mod_ssl: OpenSSL >= 3.0 での trace7 loglevel での SSL のダンプ出力が復活されました。

* mpm_worker: 子プロセスが適切なタイミングで終了しないことについての警告(AH00045)が修正されました。

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4

脆弱性修正

* CVE-2024-39884: Apache HTTP Server: AddType により設定されたハンドラによるソースコードの暴露。Apache HTTP Server 2.4.60 の core のリグレッションでは、ハンドラのレガシーな content-type ベースの設定のある使い方が無視されていました。”AddType” および同様の設定で、ファイルが間接的にリクエストされる環境下で、ローカルコンテンツのソースコードが暴露される結果となりました。例えば、PHP スクリプトが解釈されずそのまま提示される可能性があります。バージョン 2.4.61 にアップグレードすることでこの問題は修正されます。

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4

脆弱性修正

* CVE-2024-39573: Apache HTTP Server: mod_rewrite のプロキシハンドラの置換。Apache HTTP Server 2.4.59 および、それ以前のバージョンの mod_rewrite の潜在的な SSRF により、攻撃者に、安全でない RewriteRule が mod_proxy で処理される URL を予想外に設定させてしまいます。(CVE-2024-39573)

* CVE-2024-38477: Apache HTTP Server: 悪意のあるリクエストによる mod_proxy でのクラッシュによるサービス妨害。Apache HTTP Server 2.4.59 および、それ以前のバージョンでの mod_proxy でのヌルポインタ逆参照により、攻撃者は悪意のあるリクエストでサーバをクラッシュさせることができました。(CVE-2024-38477)

* CVE-2024-38476: Apache HTTP Server による、悪用できる、あるいは悪意のあるバックエンドアプリケーションの出力を使っての内部リダイレクト経由でローカルのハンドラの実行。Apache HTTP Server 2.4.59 および、それ以前のバージョンのコア部分の脆弱性は、レスポンスヘッダが悪意のある、あるいは悪用可能なバックエンドアプリケーション経由による、情報の暴露、SSRF、ローカルスクリプト実行の可能性があります。注意: リクエストをハンドラに結び付ける ‘AddType’ ディレクティブの古い使い方をしている場合は、本修正適用後、’AddHandler’ を使用するように変更する必要があります。(CVE-2024-38476)

* CVE-2024-38475: Apache HTTP Server の置換の第一区分がファイルシステムのパスにマッチした場合の脆弱性。Apache HTTP Server 2.4.59 および、それ以前のバージョンの mod_rewrite の不適切な出力のエスケープ処理により、攻撃者は、Apache HTTP Server によりサービスを提供することは許されているが、何らかの URL では意図的に、あるいは直接的に到達することのできないファイルシステム上の位置に URL をマップすることができました。この結果、コードの実行やソースコードの暴露につながっていました。バックリファレンスや変数を置換の第一区分として使用している server コンテキストの置換が影響を受けます。安全でない RewriteRule の中にはこの変更により正しく機能しなくなるものがあり、書き換えフラグ “UnsafePrefixStat” を使って、置換が適切に制限されていることが保証されている状態に設定することができます。(CVE-2024-38475)

* CVE-2024-38474: Apache HTTP Server のバックリファレンスでのエンコードされた疑問符の脆弱性。Apache HTTP Server 2.4.59 および、それ以前のバージョンの mod_rewrite の置換のエンコーディングの問題により、攻撃者は、設定では許可されているが、なんらかの URL あるいは CGI として実行されることのみを意図して公開さえたスクリプトのソースでは直接到達できないディレクトリ上でのスクリプトの実行が可能になっていました。キャプチャや置換を安全ではないやり方で行う RewriteRule は、書き換えフラグ “UnsafeAllow3F” が指定されていない限り、失敗するようになりました。(CVE-2024-38474)

* CVE-2024-38473: Apache HTTP Server のプロキシエンコーディング問題。Apache HTTP Server 2.4.59 および、それ以前のバージョンの mod_proxy のエンコーディング問題は、誤ったエンコーディングのリクエスト URL をバックエンドサービスに送ることで、細工されたリクエストにより認証が回避される可能性がありました。(CVE-2024-38473)

* CVE-2024-38472: Windows 上の Apache HTTP Server の UNC SSRF。Windows 上の Apache HTTP Server on Windows の SSRF により、NTML ハッシュが悪意のあるサーバに SSRF および悪意のあるリクエストまたはコンテンツ経由で漏洩する可能性がありました。注意: UNC パスをアクセスする既存の設定では、リクエスト処理時にアクセスを許す、新たなディレクティブ “UNCList” を使って設定を行なう必要があります。(CVE-2024-38472)

* CVE-2024-36387: Apache HTTP Server: HTTP/2 越しの websocket でのヌルポインタによる DoS。HTTP/2 接続上で WebSocket のプロトコルアップグレードにより、Null ポインタの逆参照が発生し、その結果サーバプロセスのクラッシュにつながり、性能低下を招く可能性がありました。(CVE-2024-36387)

不具合修正

* mod_proxy: DNS リクエストと接続が設定された addressTTL の前にクローズされてしまう問題が修正されました。(BZ 69126)

* core: Linux で、エラーログに実スレッドIDがログ出力されるようになりました。

* core: Listen および VirtualHost ディレクティブの IPv6 のリンクローカルアドレスで zone/scope がサポートされました。APR 1.7.x あるいはそれ以降が必要です。(PR 59396)

* mod_ssl: TLS アラート付きのクライアント始動の再ネゴシエーションが、コネクションをクローズするのではなく、リジェクトされるようになりました。

* mime.types が更新されました。

* mod_ssl: 明示的に DH パラメータが設定されていない場合に、あるキーに対するデフォルトの DH パラメータが設定されず、実質的に DH 暗号を無効化してしまうリグレッションが修正されました。(PR 68863)

* mod_cgid: ファイル記述子の受け渡しのオプション的なサポートについて、Unix プラットフォームでのエラー処理(configure –enable-cgid-fdpassing) が修正されました。(PR 54221)

* mod_cgid/mod_cgi: スクリプトの stderr への出力がエラーログ中で明確に区別されるようになりました。(PR 61980)

* mod_tls: rustls-ffi のバージョンが v0.13.0 に更新されました。

* mod_md:
– OCSP ステープリング情報を使って、証明書の更新がトリガされるようになりました。
– ディレクティブ `MDCheckInterval` が追加され、検知された失効をどの程度の頻度でサーバがチェックするかを設定できるようになりました。設定方法についての提案が READE.md の “Revocations” の章に追加されています。
– OCSP ステープリング: RFC 6960 で許可されている、`nextUpdate` エントリなしの OCSP レスポンスが受け付けられるようになりました。これらは、更新間隔が 12 時間であるように取り扱われます。
– OpenSSL の API 変更に合わせて OpenSSL の使用方法が変更されました。

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4

脆弱性修正

* CVE-2024-27316: Apache HTTP Server: 際限のない連続したフレームによるメモリ枯渇となる HTTP/2 DoS。HTTP/2 入力ヘッダで制限を超えたものは一時的に nghttp2 のバッファに入れられて、有用な情報を含む HTTP 413 レスポンスの生成に備えます。クライアントがヘッダを送るのを止めない場合は、このためにメモリが枯渇します。この問題が修正されました。(CVE-2024-27316)

* CVE-2024-24795: Apache HTTP Server: HTTP レスポンスの複数モジュールでの分割。Apache HTTP Server での HTTP レスポンスの複数モジュールでの分割により、攻撃者は悪意のあるレスポンスヘッダをバックエンドアプリケーションに注入することで、HTTP desync 攻撃を引き起こすことができます。この問題が修正されました。(CVE-2024-24795)

* CVE-2023-38709: Apache HTTP Server: HTTP レスポンス分割。Apache core の誤った入力検査により、悪意のある、あるいは発現可能なバックエンド/コンテントジェネレータが HTTP レスポンスを分割することを許していました。この問題が修正されました。バージョン 2.4.58 までの Apache HTTP Server がこの問題の影響を受けます。(CVE-2023-38709)

不具合修正

* mod_deflate: 様々なエラーや例外的なケースの処理についてログ出力が修正および改善されました。

* CGIScriptTimeout が mod_cgi に追加されました。

* mod_xml2enc: libxml2 2.12.0 およびそれ以降が使用できるようになりました。

* mod_slotmem_shm: ap_os_is_path_absolute() を使用することで移植性が向上しました。

* mod_ssl: SSLCACertificatePath/SSLCADNRequestPath 向けの CA 名のリストを組み立てる際に OpenSSL 標準の機能が使われるようになりました。名前は一貫性を持って整列されます。(PR 61574)

* mod_xml2enc: 任意の text/ メディアタイプ、あるいは任意の XML メディアタイプを受け付ける検査が RFC 7303 に従うように更新されました。これにより、Microsoft OOXML フォーマットの破壊が回避されます。(PR 64339)

* mod_http2: v2.0.26 に更新され、以下の修正が行われています。
– HTTP/1.1 からアップグレードされた (h2c) `Date` ヘッダが修正されました。<https://github.com/icing/mod_h2/issues/272> が修正されています。
– h2 ヘッダバケットの解放における小さなメモリリークが修正されました。

* htcacheclean: -a/-A モードで、サブディレクトリ毎のファイルを一つだけでなく、全て一覧表示するようになりました。(PR 65091)

* mod_ssl: SSLProxyMachineCertificateFile/Path は、CA 証明書を含むファイルを参照することができるようになりました。これらの CA 証明書は SSLProxyMachineCertificateChainFile で設定されたかのように取り扱われます。

* htpasswd, htdbm, dbmmanage: ヘルプメッセージやドキュメントでパスワードの “encrypting” としていたところが、”hashing” に置き換えられました。

* LibreSSL 2.0.7 を使用した場合のビルドの問題が修正されました。(PR 64047)

* SHA-2 を使用するパスワードのサポートが追加されました。

* core: mod_env がシステムの環境変数を上書きできるようになりました。

* mod_dav_fs が、PROPINFO および、apr_dir_read() と apr_stat() の間でディレクトリやファイルを削除する操作の間の競合条件を許容するようになりました。現在の動作は接続をアボートしますが、これはエラーを許しつつログ出力を行うのに比べると劣ると思われます。

* mod_ldap: ldap-status ハンドラでデータが HTML エスケープされるようになりました。

* mod_ssl: OPENSSL_NO_ENGINE が設定されている場合は OpenSSL ENGINE API が無効化されるようになりました。特に OpenSSL >= 3 など、ENGINE API が利用可能でない場合には “SSLCryptoDevice builtin” が許されるようになりました。(PR 68080)

* mod_ssl: OpenSSL 3 との互換性が改善されました。非推奨となった ENGINE_ API についてのビルド時の警告が修正されました。デフォルトをバージョン 1.1.1 との互換性維持とする場合に OPENSSL_API_COMPAT 設定が参照されるようになりました(ENGINE / SSLCryptoDevice を含みます)。

* mod_ssl: 必要に応じてメモリが OS に返されるようになりました。

* mod_proxy: URL のホスト名あるいはポート部分で何らかのドル記号による置換(後方参照)が発生した場合に ProxyPassMatch で enablereuse=on が無視され、警告が出るようになりました。

* mod_proxy: バックエンドシステムの DNS 名前解決結果をどれぐらい長くキャッシュするかについて TTL が設定できるようになりました。

* mod_proxy: ProxyRemote にオプションの3番目の引数が追加されました。この引数は、リモートへ渡す Basic 認証のクレディンシャルを設定します。(PR 37355)

詳細は以下をご覧ください。

https://downloads.apache.org/httpd/CHANGES_2.4