概要
Erlang OTPの標準HTTPサーバー実装「inets httpd」モジュールにHTTPリクエストスマグリング脆弱性があります（CWE-444：HTTPリクエストの不整合な解釈）。
フロントエンドプロキシとErlang inets httpdバックエンドの間でHTTPリクエストの境界を解釈する方法が異なる場合、攻撃者はこの不整合を悪用してプロキシのアクセス制御を回避したり、他のユーザーのセッションを汚染する可能性があります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 9.4 (CRITICAL) |
| 攻撃経路 (AV) | ネットワーク (N) |
| 攻撃の複雑さ (AC) | 低 (L) |
| 必要な権限 (PR) | 不要 (N) |
| ユーザー関与 (UI) | 不要 (N) |
| CWE | CWE-444（HTTPリクエストの不整合な解釈） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Erlang OTP (inets httpd) | Erlang/OTP | 修正バージョン未満 |
修正バージョンと回避策
Erlang/OTPの修正済みバージョンへのアップデートを推奨します。
推奨アクション:
- 使用しているErlang/OTPのバージョンを確認する（
erl -version） - Erlang CNAのアドバイザリを確認し、修正バージョンを特定する
- 修正バージョンへのアップデートを実施する
- inets httpdをプロキシ背後で使用している場合は、HTTPリクエストスマグリングに対するプロキシレベルの検証も検討する
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。