H2Oにディレクトリトラバーサルの脆弱性が確認された。影響を受けるのはH2O version 1.4.4とそれ以前、H2O version 1.5.0-beta1とそれ以前で、URL正規化処理に不備があり、file.dirディレクティブを使用していると、攻撃者にリモートで当該ディレクティブで指定されたディレクトリ以外の任意のファイルが取得される恐れがある。解決策として、この脆弱性を修正したH2Oバージョン1.4.5および1.5.0-beta2が公開されており、アップデートによりこの脆弱性は解消される。
