30秒で判断
対応すべき人:
- Apache HTTP Server 2.4.66 以前を運用しており、mod_proxy_ajp を有効にしている
- Apache と Tomcat を AJP プロトコルで連携している構成
対応不要な人（skipIf）:
- Apache HTTP Server を使用していない
- Apache HTTP Server 2.4.67 以降を使用している
- mod_proxy_ajp モジュールを無効にしているか、AJP バックエンドに接続していない
確認コマンド:
# Apache バージョン確認
httpd -v
apache2 -v
# mod_proxy_ajp が有効か確認
httpd -M 2>&1 | grep proxy_ajp
apache2ctl -M 2>&1 | grep proxy_ajp
概要
Apache HTTP Server の mod_proxy_ajp モジュールに、ヒープバッファオーバーフローの脆弱性が存在します（CVE-2026-28780）。
mod_proxy_ajp は Apache HTTP Server が AJP（Apache JServ Protocol）を使用してバックエンドサーバー（主に Tomcat）と通信するためのモジュールです。この脆弱性では、悪意のある AJP サーバーが細工した AJP メッセージを返すことで、mod_proxy_ajp がヒープメモリの末尾に攻撃者が制御する4バイトを書き込む可能性があります。
この「書き込み先オーバー」は、理論上リモートコード実行や DoS につながる可能性があります。AJP は通常内部ネットワークで使用されますが、中間者攻撃やバックエンドサーバーの侵害を前提とした2段階攻撃シナリオが考えられます。
CVSSベクトル
| 指標 | 値 | 説明 |
|---|---|---|
| Attack Vector (AV) | Network | ネットワーク経由で攻撃可能 |
| Attack Complexity (AC) | Low | 特別な条件不要 |
| Privileges Required (PR) | None | 認証不要 |
| User Interaction (UI) | None | ユーザー操作不要 |
| Scope (S) | Unchanged | |
| Confidentiality (C) | High | 情報漏洩の可能性 |
| Integrity (I) | High | データ改ざんの可能性 |
| Availability (A) | High | DoS の可能性 |
CVSSスコア: 9.8 (CRITICAL)
影響を受けるソフトウェア
| 製品 | 影響を受けるバージョン | 修正バージョン |
|---|---|---|
| Apache HTTP Server | 2.4.66 以前 | 2.4.67 以降 |
修正バージョンと回避策
推奨対応: Apache HTTP Server を 2.4.67 以降にアップグレードしてください。
# パッケージマネージャー経由でのアップデート（例: Ubuntu/Debian）
sudo apt update && sudo apt upgrade apache2
# Red Hat / CentOS 系
sudo yum update httpd
# または
sudo dnf update httpd
# バージョン確認
apache2 -v
即時アップグレードが困難な場合の回避策:
- mod_proxy_ajp モジュールを無効化する（AJP を使用していない場合）
- AJP バックエンドを信頼できるネットワークに限定する
# mod_proxy_ajp を無効化（再起動が必要）
a2dismod proxy_ajp
systemctl restart apache2
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。