JVNVU#96802408
Apache Tomcat Connectors（mod_jk）における情報漏えいの脆弱性

Apache Tomcat Connectors（mod_jk）には、情報漏えいの脆弱性が存在します。

• Apache Tomcat Connectors mod_jk Connector 1.2.0から1.2.48

Apache Tomcat Connectors（mod_jk）には、設定情報に「JkOptions +ForwardDirectories」が含まれているのに、これがプロキシされるリクエストに対して明示的なマウントがない場合などに、暗黙的なマッピングを使用して、リクエストを最初に定義されたワーカーにマップしてしまうことによる情報漏えいの脆弱性（CVE-2023-41081）があります。

この暗黙的なマッピングにより、ステータスワーカーが意図せず公開されたり、httpdで構成されたセキュリティ制約がバイパスされたりする可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者によると、次のバージョンで暗黙的なマッピング機能は削除され、すべてのマッピングは明示的な構成によって行われるように修正されているとのことです。

• Apache Tomcat Connector (mod_jk) 1.2.49以降