HTTPdサーバ2.x系に、Rangeヘッダ処理に関するサービス不能攻撃を許してしまう脆弱性(CVE-2011-3192)が存在します。Rangeヘッダは、ファイルの分割ダウンロードや、ダウンロード中断・再開などで利用するヘッダで、ダウンロードを範囲指定します。HTTPdサーバがサービス不能状態に陥ってしまうというものです。HTTPdサーバをベースとした日立製品も、この脆弱性の影響を受けます。HTTPdサーバをベースとした日立製品*1)2011年08月31日、1.3系に影響がないことが判明し、影響を受けるバージョンは2.x系のみに変更となりました(図1)。不正なHTTP要求を受信したHTTPdサーバプロセスが、サービス不能状態に陥る可能性があります。結果として、サーバ全体がサービス不能状態に陥る可能性があります。回避策]を適用してください。HTTPdサーバでの回避策について解説します。対策]を参照してください。Rangeヘッダを許容するが、制限を加える。HTTPdサーバ設定ファイルhttpd.confに、Rangeヘッダを許容するが、記述できる項目数に上限を設ける設定(下記設定例では上限値=5件)を追加します。運用上、回避策による影響が一番少なくなります。5件以下かどうかを判定する。Rangeヘッダを無視する。Request-Rangeヘッダは無視する。制限を越えたアクセスのログ(制限超過ログ)を取得する。5件以下かどうかを判定。Forbidden)を返す。Request-Rangeヘッダは無視する。Rangeヘッダを許容しない。HTTPdサーバ設定ファイルhttpd.confに、Rangeヘッダを許容しない設定を追加します。ブラウザでのダウンロード中断・再開の機能が利用できなくなります(図2)。Suite製品追記)しました。対策に「脆弱性の影響を受けない弊社製品」を追加しました。リンクを追加ならびに更新しました。2011年09月08日CVSSによる深刻度:現状値、関連情報:脆弱性識別を追記しました。2011年09月07日このページを新規作成および公開しました。担当:寺田、大西/HIRTHIRT-PUB活動参考資料CSIRTメモグローバルサイン:重要な電子文書にデジタル署名。