Apache Tomcatに新たな脆弱性、情報漏洩を引き起こす恐れ

JPCERTコーディネーションセンター(JPCERT/CC: Japan Computer Emergency Response Team Coordination Center)は6月22日、「JVNVU#92908681: Apache Tomcatにおける情報漏えいの脆弱性」において、Apache Tomcatに情報漏洩を引き起こす恐れがある脆弱性が存在するとして、注意を呼び掛けた。

脆弱性に関する情報は次のページにまとまっている。

• [SECURITY] CVE-2023-34981 Apache Tomcat - Information disclosure-Apache Mail Archives
• Apache Tomcat® - Apache Tomcat 11 vulnerabilities
• Apache Tomcat® - Apache Tomcat 10 vulnerabilities
• Apache Tomcat® - Apache Tomcat 9 vulnerabilities
• Apache Tomcat® - Apache Tomcat 8 vulnerabilities
• 66512 – File downloads render as empty if access to Tomcat based application is delegated via AJP
• 66591 – HttpResponse without any header generates corrupted AJP messages

• [SECURITY] CVE-2023-34981 Apache Tomcat - Information disclosure-Apache Mail Archives

脆弱性は「CVE-2023-34981」として特定されている。これはレスポンスにHTTPヘッダが設定されていない場合にAJP SEND_HEADERSメッセージが送信されないという動作に原因があるとされており、この結果として少なくともmod_proxy_ajpにおいて細工されたリクエストに対し以前のリクエストのレスポンスヘッダが使用されるという問題が発生すると説明されている。

脆弱性が修正されたプロダクトおよびバージョンは次のとおり。

• Apache Tomcat 11.0.0-M6およびこれより後のバージョン
• Apache Tomcat 10.1.9およびこれより後のバージョン
• Apache Tomcat 9.0.75およびこれより後のバージョン
• Apache Tomcat 8.5.89およびこれより後のバージョン