CVE-2026-73270 Erlang/OTP inets httpd モジュールのケースセンシティブ脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Erlang/OTPのinets httpdモジュールに、ファイルシステムが大文字小文字を区別しない環境で、mod_auth保護されたディレクトリ内のファイルを不正に読み取る可能性のある脆弱性が存在します。URLのパスの大文字小文字の違いを活用して、認証不要でファイルにアクセスできるため、セキュリティ設定が意図通りに機能しないリスクがあります。影響を受けるのは、OTP 17.0〜27.3.4.17、OTP 28.0〜28.5.0.6、OTP 29.0〜29.0.6のバージョンです。確認時は、使用しているOTPのバージョンとファイルシステムの大文字小文字の扱いを確認し、mod_authの設定が正しく適用されているかを点検してください。パッチ適用や設定見直しが必要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の本質は何か。システムが「大文字小文字を区別しない」状態で動くことと、セキュリティ設定の矛盾が生じているようだが、これは設計の不備なのか、運用の過失なのか。哲学的に問うが、君はどう考える？
（笑いながら）ソクラテス、あなたは「ケースの違いが哲学を揺るがす」かのようにおっしゃるが、現場では「ケースの違いがファイルを盗まれる」のです。まずは、OTPのバージョンとファイルシステムの大文字小文字の扱いを確認してください。もし「case-insensitive」なら、mod_authの設定が正しく適用されているかを点検する必要があります。
なるほど。では、この脆弱性が「存在する」ことの倫理的意義は？セキュリティ設定が意図通りに機能しないリスクは、運用者にとって「不完全な信頼」を意味するのだろうか。
（首をかしげる）信頼の問題より、まずは「パッチ適用」が急務です。NVDに記載された影響範囲に該当するかを確認し、ベンダーの公式情報を精査してください。変更管理の文書に記録し、監視ツールでアクセスログをチェックするのも忘れないでください。
では、もし「ファイルシステムがcase-sensitive」なら、この脆弱性は影響を受けないのか？その場合、運用者は安心していいのだろうか。
（肩をすくめる）安心はできません。case-sensitiveな環境では影響がないとされるものの、設定ミスやバージョンの確認を怠ると、思わぬトラブルが発生します。定期的な影響調査と、パッチ適用の計画を立てておくことが肝要です。
哲学的にも実用的にも、この脆弱性は「不完全な設計」と「不完全な運用」の交差点に位置づけられる。だが、君が言及した「確認作業」こそが、倫理的な責任を果たす手段ではないか。
（頷く）その通りです。でも、ソクラテス、もし今夜、あなたのファイルが「Secret.txt」から「secret.txt」に変更されたら、あなたは「哲学的な怒り」よりも「パッチを当てたい」気持ちになるでしょう。
関連キーワード: httpd