JVN#87272440
Apache Tomcat におけるサービス運用妨害（DoS）の脆弱性
The Apache Software Foundation が提供する Apache Tomcat には、サービス運用妨害（DoS）の脆弱性が存在します。
- Apache Tomcat 4.1.0 から 4.1.39 まで
- Apache Tomcat 5.5.0 から 5.5.27 まで
- Apache Tomcat 6.0.0 から 6.0.18 まで
開発者によると、現在サポート対象外となっている Apache Tomcat 3.x、4.0.x、および 5.0.x も、本脆弱性の影響を受ける可能性があるとのことです。
詳しくは開発者が提供する情報をご確認ください。
The Apache Software Foundation が提供する Apache Tomcat は、Java Servlet と JavaServer Pages のサーバ実装です。
Apache Tomcat は、Java AJP コネクタ経由で送られた不正なヘッダを含むリクエストを処理する際、エラーを返さず AJP との接続を切断します。その際、コネクタが mod_jk lb ワーカである場合はエラー状態となり、約１分間利用不可能となります。その結果、サービス運用妨害（DoS）攻撃などに使用される可能性があります。
遠隔の第三者により不正なリクエストを送られることで、サービス運用妨害（DoS）攻撃を受ける可能性があります。
アップデートする
Apache Tomcat 6.0.x をお使いの場合：
開発者が提供する情報をもとに、Apache Tomcat 6.0.20 へアップデートしてください。
Apache Tomcat 5.5.x および 4.1.x をお使いの場合：
2009年06月09日現在、各系列の最新版は公開されていません。Apache Tomcat 5.5.28 および 4.1.40 が公開された際には、速やかにアップデートしてください。
パッチを適用する
各系列に対応したパッチが公開されています。アップデートができない場合は各系列のパッチを適用してください。
2009.06.09における脆弱性分析結果
| 評価尺度 | 攻撃成立条件 | 評価値 |
|---|---|---|
| 攻撃経路 | インターネット経由からの攻撃が可能 |
|
| 認証レベル | 匿名もしくは認証なしで攻撃が可能 |
|
| 攻撃成立に必要なユーザーの関与 | ユーザが何もしなくても脆弱性が攻撃される可能性がある |
|
| 攻撃の難易度 | ある程度の専門知識や運 (条件が揃う確率は高い) が必要 |
|
この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC がベンダとの調整を行いました。
報告者：NTT OSS センタ 福山 義仁 氏
| JPCERT 緊急報告 | |
| JPCERT REPORT | |
| CERT Advisory | |
| CPNI Advisory | |
| TRnotes | |
| CVE |
CVE-2009-0033 |
| JVN iPedia |
JVNDB-2009-000037 |
- 2009/06/09
- 日本電気の JVN#87272440への対応が更新されました。
- 2009/06/14
- 日立の JVN#87272440への対応が更新されました。
- 2009/06/19
- 関連文書に JVN iPedia へのリンクを追加しました。
- 2009/08/26
- 対策方法の誤植を修正しました。
- 2010/01/28
- 富士通の JVN#87272440への対応が更新されました。
- 2010/04/05
- 日本電気の JVN#87272440への対応が更新されました。
- 2015/10/21
- 富士通株式会社のベンダステータスが更新されました
