公開日：2009/02/26　最終更新日：2015/10/21

JVN#66905322
Apache Tomcat における情報漏えいの脆弱性

概要

The Apache Software Foundation が提供する Apache Tomcat には、情報漏えいの脆弱性が存在します。

影響を受けるシステム

  • Apache Tomcat 4.1.32 から 4.1.34 まで
  • Apache Tomcat 5.5.10 から 5.5.20 まで

    • 開発者によると、現在サポート対象外となっている Apache Tomcat 3.x、4.0.x、および 5.0.x も、本脆弱性の影響を受ける可能性があることが報告されています。一方、Apache Tomcat 6.0.x は影響を受けないことが確認されています。
    詳しくは開発者が提供する情報をご確認ください。

詳細情報

The Apache Software Foundation が提供する Apache Tomcat は、Java Servlet と JavaServer Pages のサーバ実装です。
Apache Tomcat には、POST リクエストされたデータの内容が漏えいする脆弱性が存在します。

想定される影響

遠隔の第三者によって、別のユーザのリクエストデータに含まれるパスワード、セッション ID、ユーザ ID 等の情報が漏えいする可能性があります。

対策方法

アップデートする
開発者が提供する情報をもとに最新版へアップデートしてください。
対策済みバージョンは以下の通りです：

  • Apache Tomcat 4.1.35 およびそれ以降
  • Apache Tomcat 5.5.21 およびそれ以降
  • Apache Tomcat 6.0.0 およびそれ以降
詳しくは開発者が提供する情報をご確認ください。

ベンダ情報

ベンダ ステータス ステータス
最終更新日		 ベンダの告知ページ
富士通株式会社 該当製品あり 2015/10/09
日本電気 該当製品無し（調査中） 2009/06/09
日立 該当製品無し 2009/02/26
株式会社バッファロー 該当製品無し 2009/02/26
横河電機 該当製品無し（調査中） 2009/02/26
ベンダ リンク
Apache Tomcat Apache Tomcat 4.x vulnerabilities CVE-2008-4308
Apache Tomcat 5.x vulnerabilities CVE-2008-4308
ASF Bugzilla - Bug 40771

参考情報

JPCERT/CCからの補足情報

本脆弱性は、ASF Bugzilla - Bug 40771 で既にバグとして公開されていたものですが、今回あらためて脆弱性として掲載することとなりました。

JPCERT/CCによる脆弱性分析結果

2009.02.26における脆弱性分析結果

評価尺度 攻撃成立条件 評価値
攻撃経路 インターネット経由からの攻撃が可能
  • 高
認証レベル 匿名もしくは認証なしで攻撃が可能
  • 高
攻撃成立に必要なユーザーの関与 ユーザが何もしなくても脆弱性が攻撃される可能性がある
  • 高
攻撃の難易度 専門知識や運 (条件が揃う確率は中程度) が必要
  • 低 - 中

各項目の詳しい説明

謝辞

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC がベンダとの調整を行いました。
報告者：富士通株式会社 ソフトウェア事業本部 アプリケーションマネジメント・ミドルウェア事業部 第二開発部 鈴木 雄一郎 氏、飯田 峰彦 氏

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2008-4308
JVN iPedia JVNDB-2009-000010

更新履歴

2009/06/09
日本電気の JVN#66905322への対応が更新されました。
2014/10/27
富士通株式会社のベンダステータスが更新されました
2015/10/21
富士通株式会社のベンダステータスが更新されました