ニュース

「Apache Tomcat」に複数の脆弱性 ～JVNが注意喚起

修正版はすでにリリースされており、公式サイトより入手可能

2018年7月23日 16:45

“JVN”の脆弱性レポート（JVNVU#90416738

　脆弱性対策情報ポータルサイト“JVN”は7月23日、「Apache Tomcat」に複数の脆弱性が存在することを明らかにした。修正版はすでにリリースされており、公式サイトより入手可能。

　“JVN”の脆弱性レポート（JVNVU#90416738）によると、「Apache Tomcat」の旧バージョンには、補助文字の取り扱い不備によりUTF-8デコーダーが無限ループに陥る（CVE-2018-1336）、NIO/NIO2におけるコネクションの管理不備（CVE-2018-8037）、WebSocketクライアントのTLS接続においてホスト名が検証されない（CVE-2018-8034）などの欠陥が存在する。それぞれサービス運用妨害（DoS）攻撃、既存セッションの使いまわし、中間者攻撃（man-in-the-middle attack）につながる恐れがあり、以下のバージョンへのアップデートが推奨されている。

  • Apache Tomcat 9.0.10
  • Apache Tomcat 8.5.32
  • Apache Tomcat 8.0.53
  • Apache Tomcat 7.0.90