公開日:2009/06/09 最終更新日:2015/10/21

JVN#63832775
Apache Tomcat における情報漏えいの脆弱性

概要

The Apache Software Foundation が提供する Apache Tomcat には、情報漏えいの脆弱性が存在します。

影響を受けるシステム

  • Apache Tomcat 4.1.0 から 4.1.39 まで
  • Apache Tomcat 5.5.0 から 5.5.27 まで
  • Apache Tomcat 6.0.0 から 6.0.18 まで
  • 開発者によると、現在サポート対象外となっている Apache Tomcat 3.x、4.0.x、および 5.0.x も、本脆弱性の影響を受ける可能性があるとのことです。
    詳しくは開発者が提供する情報をご確認ください。

詳細情報

The Apache Software Foundation が提供する Apache Tomcat は、Java Servlet と JavaServer Pages のサーバ実装です。
Apache Tomcat には、特定のメソッドを利用したアプリケーションにおいて、WEB-INF ディレクトリ配下の情報が漏えいする脆弱性が存在します。

想定される影響

遠隔の第三者により不正なリクエストを送られた場合、WEB-INF ディレクトリ配下に設置したアプリケーション内部に含まれるパスワードや設定情報などが漏えいする可能性があります。

対策方法

アップデートする
Apache Tomcat 6.0.x をお使いの場合:
開発者が提供している情報をもとに Apache Tomcat 6.0.20 へアップデートしてください。

Apache Tomcat 5.5.x および Apache Tomcat 4.1.x をお使いの場合:
2009年06月09日現在、Apache Tomcat 5.5.x および Apache Tomcat 4.1.x の最新版は公開されていませんが、

開発者が提供している情報をもとに、最新版のソースを svn から入手してください。
それぞれの最新版が公開された際には、最新版へアップデートしてください。

詳しくは、開発者が提供する情報をご確認ください。

ベンダ情報

ベンダ ステータス ステータス
最終更新日
ベンダの告知ページ
富士通株式会社 該当製品あり 2015/10/09
日本電気 該当製品あり 2010/04/05
日立 該当製品無し 2009/06/09
株式会社バッファロー 該当製品無し 2009/06/09

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

2009.06.09における脆弱性分析結果

評価尺度 攻撃成立条件 評価値
攻撃経路 インターネット経由からの攻撃が可能
認証レベル 匿名もしくは認証なしで攻撃が可能
攻撃成立に必要なユーザーの関与 ユーザが何もしなくても脆弱性が攻撃される可能性がある
攻撃の難易度 ある程度の専門知識や運 (条件が揃う確率は高い) が必要
  • 中 - 高

各項目の詳しい説明

謝辞

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC がベンダとの調整を行いました。
報告者:富士通株式会社 ミドルウェア事業本部 アプリケーションマネジメント・ミドルウェア事業部 第二開発部 飯田 峰彦 氏、鈴木 雄一郎 氏

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2008-5515
JVN iPedia JVNDB-2009-000036

更新履歴

2009/06/09
日本電気の JVN#63832775への対応が更新されました。
2009/06/09
謝辞を修正しました。
2009/06/19
関連文書に JVN iPedia へのリンクを追加しました。
2009/07/08
日本電気の JVN#63832775への対応が更新されました。
2010/01/27
日本電気の JVN#63832775への対応が更新されました。
2010/01/28
富士通の JVN#63832775への対応が更新されました。
2010/04/05
日本電気の JVN#63832775への対応が更新されました。
2015/10/21
富士通株式会社のベンダステータスが更新されました