low: mod_ldap per-dir use-after-free (CVE-2026-29167)

概要
CVE-2026-29167は、Apache HTTP Serverでmod_ldapをディレクトリ単位(per-directory)の設定で使用した場合に発生する解放後使用(Use After Free)の脆弱性です。深刻度は低(low)とされています。発見者はAisle ResearchのPavel Kohout氏(Aisle.com)です。セキュリティチームへの報告日は2026年3月2日です。

影響対象
Apache HTTP Server 2.4.0から2.4.67までが対象です。影響条件は、mod_ldapをディレクトリ単位の設定で使用している場合です。

修正版
2.4.68で修正されており、同版へのアップグレードが推奨されています。2.4.x系ではr1934935により2026年6月3日に修正され、2.4.68は2026年6月8日にリリースされました。

回避策
原文に記載がなく未確認です。

不明点
悪用された場合の具体的な影響(サービス停止、情報漏えい、任意コード実行など)は未確認です。攻撃に必要な条件の詳細(認証の要否、遠隔から悪用可能か等)、CVSSスコア、実際の悪用事例の有無も、原文に記載がなく未確認です。