MAKIZOU.COM

Apache mod_proxyに脆弱性

　30日（デンマーク時間）、Secuniaは「Apache HTTPサーバー」に、DoSの脆弱性が発見されたと公表した。

　今回発見された脆弱性は、Apache mod_proxyに存在する。影響を受けるバージョンは、それぞれ以下のとおり。

• Apache 2.0.x
• Apache 2.2.x

詳細：セキュリティーアドバイザリー

• http://httpd.apache.org/security/vulnerabilities_20.html
• http://httpd.apache.org/security/vulnerabilities_22.html

怖いですね…脆弱性って。
気がついた時にすぐに手を打ちましょうね。

解決策と回避策は…

解決策

Apache 2.0.61-devまたは、Apache 2.2.6-devの開発版を利用すること。

回避策

mod_proxyを利用せずApache Tomcatのmod_jkを利用すること。

mod_proxy　概要

このモジュールは Apache のプロキシ/ゲートウェイ機能を実装しています。 AJP13 (Apache JServe Protocol version 1.3), FTP, CONNECT (SSL 用), HTTP/0.9, HTTP/1.0, HTTP/1.1 のプロキシ機能を実装しています。これらのプロトコルやその他のプロトコル用の プロキシ機能を持った、他のモジュールに接続するようにも設定できます。

Apache のプロキシ機能は mod_proxy の他に、 いくつかのモジュールに分割されています: mod_proxy_http, mod_proxy_ftp, mod_proxy_ajp, mod_proxy_balancer, mod_proxy_connect です。ですから、 特定のプロキシの機能を使いたい場合は、mod_proxy と 該当するモジュールをサーバに (コンパイル時に静的に行なうか LoadModule で動的に読み込むかして) 組み込む必要があります。

これに加えて、他のモジュールによって拡張機能が提供されています。 キャッシュは mod_cache と関連モジュールで 提供されています。SSL/TLS で遠隔サーバに接続する機能は mod_ssl の SSLProxy* ディレクティブで 提供されています。これらの機能を利用するためには、該当するモジュールを 組み込んで設定しなければなりません。