IBMは7月22日、IBM HTTP Server (powered by Apache) for IBM iに「HTTPレスポンス分割攻撃」に対して脆弱性があり、深刻なサイバー攻撃を受ける恐れがある、と発表した。
HTTPレスポンス分割攻撃とは、外部からの入力データを受けてHTTPヘッダを出力するWebアプリケーションに脆弱性があると、それを突いて偽のWebページを作成し、複数のレスポンスを作り出す攻撃を指す。たとえば、Webキャッシュ・ポイズニングやクロスサイトスクリプティングなどの攻撃を仕掛けることが可能になり、機密情報を取得される可能性がある。
影響を受ける製品およびバージョンは、
IBM i 7.5
IBM i 7.4
IBM i 7.3
IBM i 7.2
以下の脆弱性が指摘されている。
CVE-2023-38709
Apache HTTP Serverは、HTTPレスポンス分割攻撃に対して脆弱で、攻撃者はウェブキャッシュポイズニングやクロスサイトスクリプティングなどのさらなる攻撃を行うことができ、機密情報を取得される可能性がある。
CVSSベース・スコア：6.5（警告）
CVE-2024-24795
Apache HTTP サーバーは、複数のモジュールの欠陥により、HTTPレスポンス分割攻撃に対して脆弱。攻撃者は、攻撃者はWebキャッシュ・ポイズニングやクロスサイトスクリプティングなどのさらなる攻撃を実行できるようになり、機密情報を取得される可能性がある。
CVSSベース・スコア：6.5（警告）
対処法
以下のPTFを適用することにより対処できる。
・Security Bulletin: IBM HTTP Server (powered by Apache) for IBM i is vulnerable to HTTP response splitting attacks [CVE-2023-38709, CVE-2024-24795].
https://www.ibm.com/support/pages/node/7160932
［i Magazine・IS magazine］
