JVN#63832775
Apache Tomcat における情報漏えいの脆弱性
The Apache Software Foundation が提供する Apache Tomcat には、情報漏えいの脆弱性が存在します。
開発者によると、現在サポート対象外となっている Apache Tomcat 3.x、4.0.x、および 5.0.x も、本脆弱性の影響を受ける可能性があるとのことです。
詳しくは開発者が提供する情報をご確認ください。
- Apache Tomcat 4.1.0 から 4.1.39 まで
- Apache Tomcat 5.5.0 から 5.5.27 まで
- Apache Tomcat 6.0.0 から 6.0.18 まで
The Apache Software Foundation が提供する Apache Tomcat は、Java Servlet と JavaServer Pages のサーバ実装です。
Apache Tomcat には、特定のメソッドを利用したアプリケーションにおいて、WEB-INF ディレクトリ配下の情報が漏えいする脆弱性が存在します。
遠隔の第三者により不正なリクエストを送られた場合、WEB-INF ディレクトリ配下に設置したアプリケーション内部に含まれるパスワードや設定情報などが漏えいする可能性があります。
アップデートする
Apache Tomcat 6.0.x をお使いの場合：
開発者が提供している情報をもとに Apache Tomcat 6.0.20 へアップデートしてください。
Apache Tomcat 5.5.x および Apache Tomcat 4.1.x をお使いの場合：
2009年06月09日現在、Apache Tomcat 5.5.x および Apache Tomcat 4.1.x の最新版は公開されていませんが、
開発者が提供している情報をもとに、最新版のソースを svn から入手してください。
それぞれの最新版が公開された際には、最新版へアップデートしてください。
詳しくは、開発者が提供する情報をご確認ください。
2009.06.09における脆弱性分析結果
| 評価尺度 | 攻撃成立条件 | 評価値 |
|---|---|---|
| 攻撃経路 | インターネット経由からの攻撃が可能 |
|
| 認証レベル | 匿名もしくは認証なしで攻撃が可能 |
|
| 攻撃成立に必要なユーザーの関与 | ユーザが何もしなくても脆弱性が攻撃される可能性がある |
|
| 攻撃の難易度 | ある程度の専門知識や運 (条件が揃う確率は高い) が必要 |
|
この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC がベンダとの調整を行いました。
報告者：富士通株式会社 ミドルウェア事業本部 アプリケーションマネジメント・ミドルウェア事業部 第二開発部 飯田 峰彦 氏、鈴木 雄一郎 氏
| JPCERT 緊急報告 | |
| JPCERT REPORT | |
| CERT Advisory | |
| CPNI Advisory | |
| TRnotes | |
| CVE |
CVE-2008-5515 |
| JVN iPedia |
JVNDB-2009-000036 |
- 2009/06/09
- 日本電気の JVN#63832775への対応が更新されました。
- 2009/06/09
- 謝辞を修正しました。
- 2009/06/19
- 関連文書に JVN iPedia へのリンクを追加しました。
- 2009/07/08
- 日本電気の JVN#63832775への対応が更新されました。
- 2010/01/27
- 日本電気の JVN#63832775への対応が更新されました。
- 2010/01/28
- 富士通の JVN#63832775への対応が更新されました。
- 2010/04/05
- 日本電気の JVN#63832775への対応が更新されました。
- 2015/10/21
- 富士通株式会社のベンダステータスが更新されました
- 2016/11/02
- 日本電気株式会社のベンダステータスが更新されました
