low: mod_session: Session cookie not removed during internal redirect (CVE-2026-47360)

概要
CVE-2026-47360は、Apache HTTP Serverのmod_session_cookieモジュールにおける脆弱性で、深刻度はlowとされています。分類は「権限のない者への機密情報の露出(Exposure of Sensitive Information to an Unauthorized Actor)」です。内部リダイレクトの前後でSessionCookieRemoveの設定が変わる場合、セッションCookieが削除されず、バックエンドサーバーに渡される可能性があります。タイトルではmod_session、本文ではmod_session_cookieと記載されています。発見者はlokerxx氏で、セキュリティチームへの報告日は2026年5月15日です。

影響対象
Apache HTTP Server 2.4.0から2.4.68までが対象です。影響条件は、内部リダイレクトの前後でSessionCookieRemoveが変化する場合です。

修正版
2.4.xブランチではr1938656で修正されました(日付は2026年10月1日と記載)。修正を含む2.4.69は2026年10月1日にリリースされています。

回避策
原文に記載がないため未確認です。

不明点
以下は原文に記載がなく、未確認です。
・CVSSスコア
・悪用の有無
・バックエンドサーバーに渡された場合の具体的な影響範囲
・影響を受ける設定の具体例
・2.4.0より前の版への影響