content15年来のセキュリティホールが今になって表面化した。開発者らは緊急パッチを適用する必要がある。TomCat、PHP実行環境のHHVM、Pythonなどをはじめとするさまざまなサーバサイド関連ソフトウェアが、この「httpoxy」と名付けられたセキュリティホールの影響を受ける。この脆弱性はCGIや類似の環境で実行されているアプリケーションに影響する。3875で規定されている命名規則に従って環境変数に登録すると、Proxyヘッダの内容は「HTTP_PROXY」変数に格納されるが、脆弱性のある環境では、この情報がプロキシの設定に使用されてしまう。この脆弱性を悪用すると、遠隔にいる攻撃者がリモートからコードを実行することが可能になる。この問題を発見して情報開示を組織したVendのセキュリティチームは、ウェブドメインがセキュリティ侵害を受けるのを防ぐためには、ただちにProxyヘッダをブロックする必要があると述べている。この脆弱性が存在するのはサーバサイドのウェブアプリケーションであるため、サーバ側でコードを実行していなければ、対応は必要ない。同チームは「今後あまり使用されていないソフトウェアのチェックが進むにつれて、httpoxyに関するCVEが増える可能性がある」と述べている。一連の脆弱性には、影響を受けるソフトウェアに応じて、異なるCVE番号が割り当てられている。TomCat)、CVE-2016-1000109(HHVM)、CVE-2016-1000110(Python)だ。このバグは、15年以上前からさまざまなソフトウェアで発見されていたが、現在までこの脆弱性が実際に悪用された例は見つかっていなかった。「LWP、curl、Rubyのチームが、過去15年の間にこの問題に気づいており、現在でもさらに多数のアプリケーションに脆弱性が存在することを考えると、以前の発見は、CGIを使用しているすべての人たちに対して大きく緊急性がある情報として伝えられなかったからとしか考えられない。今回のことで、ある程度大きく修正を求めることになるだろうとわれわれは考えている」と同チームは述べている。Drupal、NGINX、Fastly、CloudFlare、Akamaiがセキュリティアドバイザリを公表している。Interactive発の記事を朝日インタラクティブが日本向けに編集したものです。Japanは、CIOとITマネージャーを対象に、ビジネス課題の解決とITを活用した新たな価値創造を支援します。Japanをご覧ください。Davisからのライセンスに基づき朝日インタラクティブが運営しています。クッキーについて広告について運営会社サイトマップ当サイトは最新ブラウザでの閲覧を推奨します。permission.このサイトでは、利用状況の把握や広告配信などのために、Cookieなどを使用してアクセスデータを取得・利用しています。これ以降ページを遷移した場合、Cookieなどの設定や使用に同意したことになります。Cookieなどの設定や使用の詳細、オプトアウトについては詳細をご覧ください。