ITmedia エンタープライズ

ftp://ftp.infoscience.co.jp/pub/net/apache/
dist/httpd/httpd-2.0.48.tar.gz
http://ring.asahi-net.or.jp/archives/net/apache/dist/
httpd/httpd-2.0.48.tar.gz
http://www.meisei-u.ac.jp/mirror/apache/dist/
httpd/httpd-2.0.48.tar.gz

　1.3.28は、3つのセキュリティ問題を含むバージョンアップとしてリリースされたもの。ローカルユーザが意図的にサービスを停止させることが可能であるため、強く1.3.28へのアップグレードが推奨されている。主な変更点は以下の通り。

・Win32環境もしくはOS/2環境において「rotatelogs」プログラムの使用時、パイプ処理を通して特殊なコントロール文字が送られた場合にログ記録停止してしまう問題が修正された。
・サーバプロセスが無限ループに突入した場合、クラッシュせずに指定回数でループを抜けるよう変更された。ループ脱出までの回数は「LimitInternalRecursion」ディレクティブで指定ができる。
・HTTPプロトコルに準拠されていないリクエストを解析した場合、ヌルポインタへの参照が発生してクラッシュしてしまうバグが修正された。
・ミューテックスの扱いに変更が行われた。「pthread」利用時のスレッド同期に関するクラッシュ問題が修正された。
・「htdigest」コマンドに含まれていたバッファオーバーフロー問題が修正された。
・「Listen」ディレクティブにおいて、ポート番号が指定されていない場合、エラーとなるように変更された。 ・「FollowSymLinks」「SymLinksIfOwnderMatch」が指定されていない場合でも「RewriteEngine Off」の設定が許されるようになった。そのほか、「mod_rewrite」モジュールの内部動作が幾つか変更されている。
・「mod_setenvif」モジュールに新たな環境変数「SERVER_ADDR」が追加された。CGIからこれを参照することで、サーバがどのIPアドレスでHTTPリクエストを受けたのかを判別可能だ。

参考リンク
Apache 1.3系列がバージョンアップ、3つのセキュリティ問題を修正

ftp://ftp.infoscience.co.jp/pub/net/apache/
- dist/httpd/apache_1.3.27.tar.gz
http://ring.asahi-net.or.jp/archives/net/apache/
- dist/httpd/apache_1.3.27.tar.gz
http://www.meisei-u.ac.jp/mirror/apache/
- dist/httpd/apache_1.3.27.tar.gz

　1.2.26以後に発見された、次に挙げる脆弱性などが修正された。
・ エラーページのクロスサイトスプリクティング脆弱性（CAN-2002-0840）
・ バッファーオーバーラン脆弱性（CAN-2002-0843）

ftp://ftp.infoscience.co.jp/pub/net/apache/
- dist/httpd/apache_1.3.26.tar.gz
http://ring.asahi-net.or.jp/archives/net/apache/
- dist/httpd/apache_1.3.26.tar.gz
http://www.meisei-u.ac.jp/mirror/apache/
- dist/httpd/apache_1.3.26.tar.gz

　CGIモジュールのバグ修正などが行われた。

ftp://ftp.infoscience.co.jp/pub/net/apache/
- dist/httpd/apache_1.3.25.tar.gz
http://ring.asahi-net.or.jp/archives/net/apache/
- dist/httpd/apache_1.3.25.tar.gz
http://www.meisei-u.ac.jp/mirror/apache/
- dist/httpd/apache_1.3.25.tar.gz

　chunkedデータ処理でのスタックオーバーフローの脆弱性が修正された。この脆弱性を利用したワームとしては、Scalper Wormが知られている。