公開日:2022/05/16 最終更新日:2022/05/16

JVNVU#94243578
Apache TomcatにおけるWebSocket接続の実装に関する問題

概要

Apache Tomcatには、WebSocket接続の実装に起因する、データが誤った用途に利用される問題が存在します。

影響を受けるシステム

  • Apache Tomcat 9.0.0.M1から9.0.20までのバージョン
  • Apache Tomcat 8.5.0から8.5.75までのバージョン

詳細情報

WebアプリケーションにWebSocket接続のクローズと同時にWebSocketメッセージを送信した場合、アプリケーションは、ソケットが閉じられた後もソケットを使用し続ける可能性があります(CVE-2022-25762)。
これにより、後続のWebSocket接続が同一のWebSocketオブジェクトを同時に使用してしまい、データが誤って返答されたり他のエラーが発生する可能性があります。

想定される影響

WebSocket接続のクローズと同時にWebSocketメッセージを送信されることで、予期せぬエラーが発生し、セキュリティ上の問題が引き起こされる可能性があります。

対策方法

アップデートする
開発者が提供する情報をもとに、最新バージョンにアップデートしてください。
開発者は、本脆弱性の対策版として次のバージョンをリリースしています。

  • Apache Tomcat 9.0.21 およびそれ以降
  • Apache Tomcat 8.5.76 およびそれ以降

ベンダ情報

ベンダ リンク
The Apache Software Foundation Fixed in Apache Tomcat 9.0.21
Fixed in Apache Tomcat 8.5.76

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia