JVNVU#98868043
Apache TomcatにHttp11Processorインスタンスにおける競合状態による情報漏えいの脆弱性

Apache Tomcatには、Http11Processorインスタンスにて競合状態が発生し、誤ったクライアントへのレスポンスを行うことで情報漏えいとなる脆弱性が存在します。

• Apache Tomcat 10.1.0-M1から10.1.0-M12までのバージョン
• Apache Tomcat 10.0.0-M1から10.0.18までのバージョン
• Apache Tomcat 9.0.0-M1から9.0.60までのバージョン
• Apache Tomcat 8.5.0から8.5.77までのバージョン

The Apache Software Foundationから、Apache Tomcatの脆弱性に対するアップデートが公開されました。

• Http11Processorインスタンスにおける競合状態による情報漏えいの脆弱性 (CWE-362) - CVE-2021-43980

複数のクライアントから接続された場合、Http11Processorのインスタンスを共有していることに起因して、レスポンスのすべてまたはその一部を誤ったクライアントに送信するため、情報が漏えいする可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性は次のバージョンで修正されているとのことです。

• Apache Tomcat 10.1.0-M14およびそれ以降のバージョン
• Apache Tomcat 10.0.20およびそれ以降のバージョン
• Apache Tomcat 9.0.62およびそれ以降のバージョン
• Apache Tomcat 8.5.78およびそれ以降のバージョン