moderate: OOB Read in `merge_response_headers` can cause crash (CVE-2026-43951)

概要:CVE-2026-43951は、Apache HTTP Serverの merge_response_headers における範囲外読み取り(Out-of-bounds Read)の脆弱性で、深刻度はmoderateとされています。この問題によりクラッシュが発生する可能性があります。発見者はdepthfirstのZhenpeng (Leo) Lin氏で、セキュリティチームへの報告日は2026-04-27です。

影響対象:Apache HTTP Server 2.4.0から2.4.67までが影響を受けます。影響条件として、mod_headersとmod_mimeを使用し、かつ複数のレスポンス言語がある場合と記載されています。

修正版:2.4.xブランチではr1935006により2026-06-05に修正されました。2026-06-08にはアップデート版の2.4.68がリリースされています。影響範囲が2.4.67までとされていることから2.4.68は影響範囲外と読めますが、2.4.68に本修正が含まれると明記された記述はありません。

回避策:原文に記載がないため未確認です。

不明点:クラッシュ以外の影響(情報漏えいの有無など)、攻撃に必要な条件の詳細(リモートから悪用可能か、認証が必要か)、CVSSスコア、実際に悪用されているかどうか、2.4.68の詳しい変更内容はいずれも原文に記載がなく未確認です。