デンマークSecuniaは現地時間7月16日，Webサーバー「Apache」で使われるSSL／TLSモジュール「mod_ssl 2.x」にセキュリティ・ホールが見つかったことを公表した。リモートから任意のプログラムを実行させられる恐れがある。対策は，最新版の「mod_ssl 2.8.19-1.3.31」にアップグレードすること。
mod_sslを公開している「mod_ssl Project」では，7月16日に最新版2.8.19-1.3.31を公開している。最新版の変更点として「Security fix」と記述しているものの，セキュリティ・ホールの詳細については公表していない。
米US-CERTも，このセキュリティ・ホールに関する情報を米国時間7月19日に公開した。SecuniaとUS-CERTの情報によると，今回のセキュリティ・ホールは，mod_sslで使われている「ssl_log()」関数が原因だという。ssl_log()には「format string vulnerability（書式文字の脆弱性）」と呼ばれるセキュリティ・ホールが存在する（関連記事）。このため，細工を施したデータを送信されると，Webサーバー上で任意のプログラムを実行させられる可能性がある。
対策は，セキュリティ・ホールを修正したmod_ssl 2.8.19-1.3.31にアップグレードすること。OSベンダーなどが公開するパッチを適用することも対策となる。ただし，US-CERTの情報を見る限りでは，mod_ssl Project以外からは，パッチあるいは修正版は公開されていない模様（7月20日現在）。
◎参考資料
◆mod_ssl Unspecified "mod_proxy" Hook Functions Format String Vulnerability（Secunia）
◆ Vulnerability Note VU#303448：mod_ssl contains a format string vulnerability in the ssl_log() function（US-CERT）
◆Latest News（mod_ssl Project）
（勝村 幸博＝IT Pro）
