low: mod_proxy_ftp PASV address handling (CVE-2026-63045)

概要
CVE-2026-63045は、Apache Software FoundationのApache HTTP Serverに含まれるmod_proxy_ftpで、FTPのPASV応答に含まれるアドレスの検証が不適切である脆弱性です。深刻度はlowとされています。フォワードプロキシ構成では、信頼できないFTPサーバーが細工したPASV応答を返すことで、プロキシに任意の第三者ホストへのデータ接続を開かせる可能性があります。

影響対象
Apache HTTP Server 2.4.0から2.4.68までが対象で、全プラットフォームに影響します。影響条件は、mod_proxy_ftpをフォワードプロキシ構成で利用し、信頼できないFTPサーバーと通信する場合です。

修正版
2.4.69で修正されており、このバージョンへのアップグレードが推奨されています。修正は2.4.x系にr1938674として2026-10-01に取り込まれ、2.4.69も同日にリリースされました。報告の受領日は2026-07-07です。発見者として、Zhen Kong、4ra1n・pyn3rd・unam4、Charles Vosburgh、sungbyeongchan、Daradigu / RELAUNCH DEPT.が記載されています。

回避策
アップグレード以外の回避策は、原文に記載がないため未確認です。

不明点
CVSSスコア、悪用事例の有無、フォワードプロキシ以外の構成への影響、具体的な攻撃の前提条件の詳細は、いずれも原文に記載がなく未確認です。