ニュース

「Apache Tomcat」に特定条件下で誤ったクライアントへレスポンスを返す脆弱性

深刻度は「High」

2022年10月3日 14:42

「JVN」の脆弱性レポート（JVNVU#98868043）

　脆弱性対策情報ポータルサイト「JVN」は9月30日、「Apache Tomcat」に誤ったクライアントへのレスポンスを送信してしまう情報漏洩の脆弱性（CVE-2021-43980）が存在することを明らかにした。「Http11Processor」を共有していることが原因で、競合状態は発生するようだ。

　この脆弱性はブロッキング処理を簡素化する際に生じたもので、「Tomcat 10」で実装され、「Tomcat 9.0.47」などにバックポートされた。影響を受けるバージョンは、以下の通り。深刻度は「High」と評価されている。

  • 「Apache Tomcat」v10.1.0-M1からv10.1.0-M12までのバージョン
  • 「Apache Tomcat」v10.0.0-M1からv10.0.18までのバージョン
  • 「Apache Tomcat」v9.0.0-M1からv9.0.60までのバージョン
  • 「Apache Tomcat」v8.5.0からv8.5.77までのバージョン

　この問題は4月1日にリリースされた「Apache Tomcat 10.0.20」などで修正済み。下記バージョンより最新であれば問題はない。

  • 「Apache Tomcat」v10.1.0-M14
  • 「Apache Tomcat」v10.0.20
  • 「Apache Tomcat」v9.0.62
  • 「Apache Tomcat」v8.5.78