Apache 2.0.51 Secirity Hole

Apache 2.0.51がリリースされましたが重大なセキュリティー上の問題が見つかりました。

From http://www.apacheweek.com/features/security-20

Fixed in Apache httpd 2.0.52-dev

Bypass of authentication CAN-2004-0811

A flaw in Apache 2.0.51 (only) broke the merging of the Satisfy directive which could result in access being granted to resources despite any configured authentication
Affects: 2.0.51

Satisfyディレクティブは外部のIPからはHTTP認証行い、プライベートIPからはIPアドレスベースの認証を行ってユーザ／パスワードの記入を省略する、など使います。(反対に両方要求することも出来ます)

昨夜の時点ではアナウンスは無い＆ミラーには2.0.52のファイルは無かったですが、apache.orgには既に配置されていました。今はミラーリングも完了したころかもしれません。