FAMLog

Apache HTTP Serverの次期バージョンの開発途上版「Apache HTTP Server 2.1.8-beta」がリリースされています。

Apache 2.1.8-betaでは新たにapachectlコマンドでgraceful-stopがサポートされています。既存のリクエストが終了するまで、もしくはGracefulShutdownTimeoutディレクティブで指定されている秒数が経過するまで、サーバーは終了処理を待機するようになります。

セキュリティ脆弱性の修正も行われており、バーチャルホスト構成のサーバーで「SSLVerifyClient optional」の設定をしている場合に、Locationコンテクストで「SSLVerifyClient require」の設定が正常に機能せずに、クライアント認証が行われない問題（CAN-2005-2700）が修正されています。

（関連）mod_ssl 2.8.24 for Apache 1.3.33

（2006/01/03追記：リンク先のURLを一部変更しました。）

米国では、FileMaker Developer 7にFileMaker Server 7 Advancedの開発・テスト用ライセンスが付属していましたが、FileMaker Developer 7の後継にあたるFileMaker Pro 8 AdvancedにはFileMaker Server Advancedの開発・テスト用ライセンスが含まれなくなっています。

FileMaker Server 8 Advanced Development Licenseは、FileMaker Pro 8 Advancedには含まれず、FileMaker Server 8 Advancedが出荷され次第、FileMaker Solutions Alliance（FSA）のメンバーにのみ提供されるように変更されています。

なお、このDevelopment Licenseについては日本のファイルメーカー社からはこれまで特に案内されていませんので、Development Licenseの提供が今後日本でも行われるかについては現在も不明のままです。

（2006/01/13追記：日本のFSAメンバーにも上記の開発ライセンスが提供されることになりました。）

Apache HTTP ServerにSSL機能を追加するモジュール「mod_ssl 2.8.24 for Apache 1.3.33」がリリースされています。

このバージョンにはセキュリティ脆弱性の修正が含まれていて、バーチャルホスト構成のサーバーで「SSLVerifyClient optional」の設定をしている場合に、Locationコンテクストで「SSLVerifyClient require」の設定が正常に機能せずに、クライアント認証が行われない問題（CAN-2005-2700）が修正されています。

Appleから「Security Update 2005-007 v1.1」がリリースされています。

Security Update 2005-007 v1.1は、Mac OS X v10.4.2およびMac OS X Server v10.4.2用のSecurity Update 2005-007 v1.0を差し替えるものです。

Security Update 2005-007 v1.1は、v1.0で配布された32bitバージョンのLibSystemを32bitバージョンと64bitバージョンの共用のものに置き換えます。これ以外の変更はv1.1では行われていないとのことです。

FileMaker Server 7 AdvancedのXSLTを使用したカスタムWeb公開において、サーバーサイドで処理されるJavaScriptを利用する場合には、XSLTスタイルシートで拡張用のネームスペースを宣言します。

（ネームスペースの宣言例）
xmlns:xalan="http://xml.apache.org/xslt"

これにより、JavaScriptで独自関数を定義するために使用されるxalan:componentエレメントとxalan:scriptサブエレメントがサポートされるようになります。

なお、Web公開エンジンに使われているXalan-Java 2.4.0ではhttp://xml.apache.org/xalanという新しいネームスペースには対応していませんので、ネームスペースにはhttp://xml.apache.org/xsltを使うようにします。

FileMaker Server 7 AdvancedのWeb公開エンジンに使われているXSLTプロセッサーであるXalan-Javaの拡張機能を利用すると、XSLTスタイルシートで直接JavaやJavaScriptを利用することが可能になります。

この拡張機能はXalan-Java独自の機能ですが、XSLTからJavaのメソッドを関数として呼び出したり、豊富にあるJavaのライブラリを利用したり、JavaScriptを始めとするスクリプト言語を使って独自の拡張関数を作成することなどにより、Web公開エンジンの機能を拡張できます。

スクリプト言語を使用できるようにするにはFileMaker, Inc.のWebサイトで配布されている2つのライブラリファイルを追加して有効にする必要がありますが、Javaのメソッドを使うにあたってはライブラリファイルを別途追加する必要はありません。

Apache HTTP Server 2.0.53がリリースされています。このバージョンにはApache 2.0系列における2点のセキュリティ脆弱性の修正が含まれています。

悪意あるユーザーが大量の空白文字が含まれたヘッダーを送信することでDoS攻撃を受けてしまう脆弱性（CAN-2004-0942）が、Apache 2.0.53で修正されています。このセキュリティ脆弱性はApache 2.0.52およびそれ以前のバージョンのApache 2.0に存在するものです。

もう1点は、DirectoryあるいはLocationコンテキストにおいてSSLCipherSuiteディレクティブが使われ、特定の暗号アルゴリズムを指定している場合に、実際にはバーチャルホスト設定で許可されているあらゆる暗号アルゴリズムが許可されてしまう脆弱性（CAN-2004-0885）が修正されています。この脆弱性はApache 2.0系列ではApache 2.0.35からApache 2.0.52までのmod_sslに存在したもので、Apache 1.3系列ではmod_ssl 2.8.20 for Apache 1.3.31ですでに修正されています。

「Web公開エンジン管理コンソール」は、Webサーバーモジュールと共に、Webサーバーにインストールされるソフトウェアコンポーネントです。

管理コンソールは、Web公開エンジンの設定・管理を行うためのWebアプリケーションであり、Webブラウザー経由で使用するものです。Web公開エンジンの一部と見なすこともできますが、FileMaker Server 7 Advancedに付属するマニュアルでは、Webサーバーモジュールとセットで扱われています。

必要に応じて、特定のIPアドレスからのみ管理コンソールへアクセスできるように制限をかけることができます。

FileMaker Server 7 Advancedでは、「Webサーバーモジュール」により、Web公開エンジンとWebサーバーが接続できるようになります。

カスタムWeb公開エンジンには「Tomcat」が使用されており、Webサーバーモジュールには、JKプロジェクトによって開発されたコネクタが使われています。このコネクタは、Apache JServ Protocol version 1.3（AJP13）を利用して、TomcatとWebサーバーを接続させることができます。

具体的には、Mac版ではApacheのモジュールである「mod_jk」が、Windows版ではIISプラグインの「ISAPI」リダイレクタプラグインが利用されています。

なお、mod_jk自体はApache HTTP Server 1.3および2.0の両方で使用することが可能です。

（2007/01/03追記：リンク先のURLを変更しました。）

「mod_security 1.8.6」がリリースされています。mod_security 1.8.6では、検知モードでのみ動作させたい場合に対応するように動作に変更が加えられています。

データの妥当性チェックがリクエストを最初に処理するときにのみ行われるようになり、さらにリクエストヘッダーにも妥当性チェックが行われるように拡張されています。これにより、すべてのリクエストデータに対して妥当性チェックが行われます。

ただし、現状ではいくつか制限もあり、検知モードで動作させるにあたって一部利用できないオプションがあります。バージョン1.9世代でこういった制限を緩めていく方針のようです。

その他、バージョン1.8.6では下記3点の不具合が修正されています。

・skipアクションが正しく動作しない不具合
・ファイルアップロード時にmod_securityが無限ループに陥る場合がある不具合
・Apache 2.0用mod_security 1.8.5で、メモリーバッファよりサイズが大きいファイルをアップロードすると承認過程がスキップされてしまう不具合