Windows上で動作するWebサーバー・ソフト「Apache Win32」に深刻なセキュリティ・ホールが見つかっている。悪用されると，リモートからサーバー上で任意のコマンドを実行される恐れがある。影響を受けるのはバージョン1.3.23以前および2.0.28-BETA以前。対策は，米国時間3月22日にリリースされたバージョン1.3.24にアップグレードすること。
セキュリティ・ホールを公開したのは，セキュリティ・ベンダー米SanctumのOry Segal氏。米国時間3月21日に，セキュリティ関連のメーリング・リストなどで明らかにした。
原因は，Apache Win32がURLリクエストを適切にチェックしないこと。MS-DOSのバッチ・ファイル（.bat，.cmd）がリクエストされると，Apacheはそのリクエスト（バッチ・ファイル名と引数）をシェルのインタープリタ（デフォルトはcmd.exe）へ渡す。このとき，Apacheはリクエストをチェックをしないため，引数にパイプ（|）とコマンドが含まれていると，そのコマンドがサーバー上で実行されてしまう。
例えば，以下のようなリクエストを送信されると，サーバー・マシンのCドライブのファイル一覧を表示することになる。
http://TARGET/cgi-bin/test-cgi.bat?|dir+c:
対策は最新版のバージョン1.3.24にアップグレードすること。The Apache Software Foundation のサイトからダウンロードできる。
◎参考資料
◆Apache Win32 Batch File Remote Command Execution Vulnerability（米SecurityFocus，英語）
◆Apache 1.3.24 Released（The Apache Software Foundation，英語）
