httpd.confの中で、

元となっているのはこの部分のコメントと思われます。

# 表示されるページのデフォルトの文字コードを設定します。これは非常に良い考

# えで、将来的なサイトの国際化の際にも役に立ちます。デフォルトの文字コード

# を設定することは、ほとんど面倒なことではありません。特に設定していなけれ

# ばiso-8859-1 (latin1)に設定されているはずです。また、javascriptやURL解析

# に関連するセキュリティー上の問題からも、デフォルトの文字コードを設定する

# ことが望ましいです。

apache-MLの過去ログでは、最近のapacheで「AddDefaultCharset」の指定自体消えているようですので、無効にしたところで脆弱性云々の問題は無いかと思います。

（文字コード未指定で文字化けするとかは別として）

先ほどの回答者です。（２回目ですのでポイントは結構です）

>コメント内にセキュリティ上……、と書かれ

> ている以上は、何らかの脆弱性の存在...

これは一般的に「クロスサイトスクリプティング脆弱性」というものを示しています。（上記URLはapacheのクロスサイトスクリプティングについての情報になります）

クライアント側で文字コードの種別が判別できないと悪意のあるスクリプトが実行されたりして危険になります。

そのため、エンコード種別の指定忘れなどが合った場合のためにApacheのhttpd.confでは嘘でもいいからデフォルトのエンコード種別を指定しましょうとなっています。

ただ、ほんとに嘘になってしまうと結局「クロスサイトスクリプティング脆弱性」になってしまうので最近ではhttpd.confではなく個別に指定するのが安全になっています。

（最近のhttpd.confから消えたのはそのためだと思います。）

もし、サーバ上の全てのコンテンツが統一されたエンコード種別ならばhttpd.confを使用し、複数のエンコード種別が存在するなら個別に指定するというポリシーで問題ないかと思います。

クロスサイトスクリプティング脆弱性はこちらの情報が分かりやすいと思います。

まず、ご存じかとは思いますが、クロスサイトスクリプティング攻撃に関してです。

スクリプトをそのまま実行させてしまうBBSは論外としても、Cookieの盗用が可能となってしまうことが問題です。

、「ほとんどの文字コード体系では、ISO-8859-1で128以下の文字コー

ドに割当てられている文字は同じ文字コードにマップされているが、いくつかの

16bitコードでは、これら特殊文字が別の目的にも使用されているため、charset

を間違えるとマズいんじゃない？」と言ったところが、ご質問のDefaultCharsetを指定しないとセキュリティ上の問題となるのでは？との部分と合致すると思われます。

文字化けと見せかけて、悪意のあるコードを埋め込むことが出来ることが問題ですね。

故意に文字化けを発生させないために、このURLの設定を参照してください。

必ずしも、AddDefaultCharsetを指定しなくてはならないのではなく、METAタグに依存させるために、わざとoffにする手もあります。