Apache HTTP Server 2.4.64 が公開、8件の脆弱性に対処　SSRF・DoS・セッションハイジャックなど修正

2025年7月10日、Apache Software FoundationはApache HTTP Server 2.4.64を正式リリースしました。

本バージョンでは、HTTPレスポンス分割、SSRF（サーバーサイドリクエストフォージェリ）、アクセス制御回避、DoS（サービス拒否）攻撃などに関する8件のセキュリティ脆弱性が修正されています。

Apache HTTP Serverは世界中のWebサーバーで広く使用されており、全Webサイトの約23％を支える中核インフラであることから、今回のアップデートは特に重要とされています。

主な脆弱性の内容と影響

以下は、今回修正された主な脆弱性の概要です

特にCVE-2024-42516は、以前のバージョン（2.4.59）でも対応が不完全だった問題の修正版であり、レスポンス分割によるリクエスト偽造やキャッシュポイズニングのリスクが指摘されていました。

また、Windows環境でのSSRF（CVE-2024-43394）はNTLM認証情報が外部に送信される可能性がある深刻なリスクとして、企業環境での早急な対応が求められます。

これらの脆弱性を突かれると、次のような被害が想定されます：

• 攻撃者による機密情報の窃取

• セッションハイジャックによる不正アクセス

• サーバリソースの過剰消費による可用性低下

• 社内ネットワークへの不正な内部リクエスト

Apache HTTP Serverプロジェクトでは、バージョン2.4.x系全体で2024年以降に19件、2025年には4件の新たな脆弱性が報告されており、継続的なアップデートの重要性が高まっています。

関連記事

Apache Tomcatに深刻な脆弱性、DoS攻撃やセキュリティルール回避のリスク- 迅速なアップデートを推奨(CVE-2025-31650) トロイの木馬化された「jQuery」がnpmやGitHubで拡散 Apache Tomcatでリモートコード実行や情報 漏洩のリスクがある脆弱性（CVE-2025-24813） EDR製品の導入検討中の方必見！選び方から導入要件まで解説 製品比較表付き 7-Zipで2つの脆弱性 いずれもDoS攻撃リスク(CVE-2025-53816,CVE-2025-53817) Jenkins、暗号化された秘密情報の漏洩やクロスサイトリクエストフォージェリ (CSRF) などの複数の脆弱性を修正 東芝の複合機「e-STUDIO」の複数のシリーズで脆弱性 Apache Parquet Javaの脆弱性(CVE-2025-30065)の検証・検出ツールをF5 Labsが公開 Apache Tomcatの脆弱性 CVE-2025-24813の悪用を確認、対象者は早急にアップデートを

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)