JVNVU#97321122: Apache Tomcat に情報漏えいの脆弱性

Apache Tomcat には、情報漏えいの脆弱性が存在します。

Apache Tomcat 9.0.0.M1 から 9.0.0.M13 まで
Apache Tomcat 8.5.0 から 8.5.8 まで

【2017年1月6日追記】

Apache Tomcat 8.0.0.RC1 から 8.0.39 まで
Apache Tomcat 7.0.0 から 7.0.73 まで
Apache Tomcat 6.0.16 から 6.0.48 まで

本脆弱性の公表当初、開発者は、Apache Tomcat 8.5.x より前のバージョンは影響を受けないとしていましたが、これらのバージョンも影響を受けることが判明しています。

【2017年1月6日更新】
Apache Tomcat の NIO HTTP コネクタに含まれているファイル送信コードには、ファイルの送信処理にエラーがあった場合、現在の Processor オブジェクトが Processor キャッシュに複数回追加される問題が存在します。これは、複数のリクエストが同時に処理される場合に同一の Processor が使用される可能性があることを意味します。複数のリクエストの処理に同一の Processor が使用されることで、セッション ID やレスポンス本体などの情報が他のセッションに漏えいする可能性があります。

本脆弱性は Apache Tomcat 8.5.x で発見され、Apache Tomcat 8.5.x において行われた Connector コードのリファクタリングで作りこまれたものであると考えられていましたが、開発者によるさらなる調査の結果、現在サポートされているすべてのバージョンの Apache Tomcat に本脆弱性が存在することが判明しています。

通信内容が漏えいする可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は本脆弱性の対策版として、次のバージョンをリリースしています。

Apache Tomcat 9.0.0.M15
Apache Tomcat 8.5.9

【2017年1月6日追記】
開発者は、追加で次の対策バージョンをリリースします。
対策バージョンがリリースされ次第、最新版へアップデートしてください。

Apache Tomcat 8.0.40
Apache Tomcat 7.0.74
Apache Tomcat 6.0.49

ベンダ	ステータス	ステータス最終更新日	ベンダの告知ページ
アライドテレシス株式会社	該当製品無し	2017/01/26
ジェイティエンジニアリング株式会社	該当製品無し	2017/01/13

ベンダ	リンク
Apache Tomcat	Bug 60409 - IllegalArgumentException at java.nio.Buffer.position at SocketWrapperBase.transfer()
	Fixed in Apache Tomcat 9.0.0.M15
	Fixed in Apache Tomcat 8.5.9
	Fixed in Apache Tomcat 8.0.40
	Fixed in Apache Tomcat 7.0.74
	Fixed in Apache Tomcat 6.0.49

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE	CVE-2016-8745
JVN iPedia

2017/01/06: 開発者が提供する情報の更新にあわせ、対象バージョンに関する記述を修正し、ベンダ情報を追加しました
2017/01/13: ジェイティエンジニアリング株式会社のベンダステータスが更新されました
2017/01/26: アライドテレシス株式会社のベンダステータスが更新されました

JVNVU#97321122 Apache Tomcat に情報漏えいの脆弱性

JVNVU#97321122
Apache Tomcat に情報漏えいの脆弱性