2012.05.14 更新
Hitachi Web ServerにRangeヘッダによるDoS脆弱性(CVE-2011-3192)が存在します。
HS11-019
特定のRangeヘッダを含むHTTPリクエストを受信すると高負荷状態やメモリ使用量が増加し，無応答状態となる場合があります。
影響を受けるバージョンを下記に示しますので，対策版の適用または，下記[回避策]による回避をお願いいたします。
対象バージョン :
対象バージョン :
本問題は，Hitachi Web Serverを構成製品とする，下記Cosminexus製品も該当します。Cosminexus製品に含まれるHitachi Web Serverのバージョン，及びCosminexus製品の対策バージョンについては，サポートサービス窓口へご相談願います。
■Cosminexus V7, V8
対象バージョン :
■Cosminexusを含む製品
対象バージョン :
対象バージョン :
対象バージョン :
対象バージョン :
対象バージョン :
対象バージョン :
対象バージョン :
対象バージョン :
対象バージョン :
■Cosminexus以外の製品
対象バージョン :
対策バージョン :
対策バージョン :
対策バージョン :
対策バージョン :
セキュリティ対策版は改良版にて提供いたします。
「改良版の提供について」のWebページをご参照いただき，手順に従ってご入手ください。
(改良版の入手にはサポートサービスの契約が必要です)
この脆弱性に対して下記の回避策があります。対策版を適用するまでの間，以下のいずれかの回避策を実施していただくようお願いいたします。
httpsd.confへの定義例
UNIX版:
LoadModule headers_module libexec/mod_headers.so
RequestHeader unset Range
RequestHeader unset Request-Range
Windows版:
LoadModule headers_module modules/mod_headers.so
RequestHeader unset Range
RequestHeader unset Request-Range
上記設定により，クライアントからのリクエストヘッダに含まれるRangeヘッダ及びRequest-Rangeヘッダが削除され，処理を継続します。
httpsd.confへの定義例
SetEnvIf Range (,.*){5,} bad-range=1 (a)
SetEnvIf Request-Range (,.*){5,} bad-range=1 (b)
<Directory />
Order allow,deny (c)
allow from all (d)
deny from env=bad-range (e)
</Directory>
httpsd.confに指定している，すべての<Directory>, <DirectoryMatch>, <Files>, <FilesMatch>,
<Location>, <LocationMatch>ディレクティブに(c)から(e)の定義を挿入してください。
(d)のallowディレクティブを既に指定している場合は，指定済みのallowディレクティブをそのまま使用してください。
上記定義例では，バイトレンジが5個まで指定されたRangeヘッダ及びRequest-Rangeヘッダを許容します。6個以上指定された場合はステータスコード403をクライアントに送信します。
