IBMは12月8日（米国時間）、IBM i用のIBM HTTP Server (Apache ベース）に複数の脆弱性があり、 機密情報の取得やセキュリティ制限の回避、サーバーサイドのリクエストの偽装を受ける恐れがある、と発表した。
影響を受けるIBM i OSバージョンは
IBM i 7.5
IBM i 7.4
IBM i 7.3
IBM i 7.2
以下の脆弱性が指摘されている。
CVE-2024-39884
Apache HTTP Serverは、レガシーのcontent-typeベースのハンドラー設定の使用を無視するコアの機能低下により、リモートの攻撃者に機密情報を取得される恐れがある。攻撃者はAddTypeを使用することでこの脆弱性を悪用し、ローカルコンテンツのソースコードを公開する可能性がある。
CVSS 基本スコア：5.9（警告）
CVE-2024-38473
Apache HTTP Serverは、mod_proxyのエンコードの欠陥により、リモートの攻撃者がセキュリティ制限を回避する可能性がある。不正なエンコードを含む特別に細工されたリクエストを送信することで、攻撃者はこの脆弱性を悪用し、認証検証を回避できてしまう。
CVSS 基本スコア：8.1（重要）
CVE-2024-38476
Apache HTTP Serverは、バックエンドアプリケーションのレスポンスヘッダーの不適切な入力検証により、リモートの攻撃者に機密情報を取得される恐れがある。攻撃者は、特別に細工したリクエストを送信することでこの脆弱性を悪用し、機密情報を取得したり、サーバーサイドのリクエスト偽装攻撃やローカルスクリプトの実行を行う可能性がある。
CVSS 基本スコア：5.9（警告）
CVE-2024-39573
Apache HTTP Serverは、mod_rewriteの脆弱性によりサーバサイドのリクエスト偽装の影響を受ける。攻撃者は、特別に細工したリクエストを送信することでこの脆弱性を悪用し、予期せずmod_proxyによって処理されるURLを設定することが可能である。
CVSS 基本スコア：7.5（重要）
対処法
以下のPTFを適用することにより対処できる。
・Security Bulletin: IBM HTTP Server (powered by Apache) for IBM i is vulnerable to a remote attacker obtaining sensitive information, bypassing security restrictions, and a server-side request forgery due to multiple vulnerabilities.
https://www.ibm.com/support/pages/node/7178181
［i Magazine・IS magazine］
