moderate: mod_vhost_alias stack overflow (CVE-2026-63292)

概要
CVE-2026-63292(重要度: moderate)は、Apache Software Foundation Apache HTTP Serverのmod_vhost_aliasにおけるスタックベースのバッファオーバーフローです。リモートのクライアントが8192バイトを超えるHostヘッダーを含むHTTPリクエストを送ると、サービス拒否を引き起こしたり、任意のコードを実行できたりする可能性があります。報告受領は2026-06-17です。発見者はHyojae Lee氏とZhen Kong氏です。

影響対象
Apache HTTP Server 2.4.0から2.4.68までが対象で、全プラットフォームが含まれます。影響が生じるのは、次の二つの条件を両方満たす場合です。
・VirtualDocumentRootでホスト名の書式指定子を使用している
・LimitRequestFieldSizeをデフォルト値より大きく設定している

修正版
2.4.xではr1938676で修正されました(2026-10-01)。修正を含む2.4.69は2026-10-01にリリースされており、原文は2.4.69へのアップグレードを推奨しています。

回避策
原文にアップグレード以外の回避策の記載はなく、未確認です。

不明点
以下は原文に記載がなく、未確認です。
・CVSSスコア
・実際に悪用されているかどうか
・任意コード実行が成立する具体的な条件
・LimitRequestFieldSizeのデフォルト値
・ディストリビューションごとの対応状況