「Apache Tomcat」に複数の脆弱性、CVE-2020-1938には注意喚起も(JVN) | ScanNetSecurity
2020.03.29(日)

「Apache Tomcat」に複数の脆弱性、CVE-2020-1938には注意喚起も(JVN)

IPAおよびJPCERT/CCは、Apache Software Foundationが提供する「Apache Tomcat」に複数の脆弱性が存在すると「JVN」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性
独立行政法人 情報処理推進機構(IPA)および一般社団法人 JPCERT コーディネーションセンター(JPCERT/CC)は2月25日、Apache Software Foundationが提供する「Apache Tomcat」に複数の脆弱性が存在すると「Japan Vulnerability Notes(JVN)」で発表した。これは、The Apache Software Foundationから脆弱性に対するアップデートが公開されたことを受けたもの。IPA、JPCERT/CCも特にCVE-2020-1938について、それぞれ注意喚起を発表している。

影響を受けるシステムは次の通り、

・CVE-2020-1935
Apache Tomcat 9.0.0.M1 から 9.0.30 まで
Apache Tomcat 8.5.0 から 8.5.50 まで
Apache Tomcat 7.0.0 から 7.0.99 まで

・CVE-2020-1938
Apache Tomcat 9.0.0.M1 から 9.0.30 まで
Apache Tomcat 8.5.0 から 8.5.50 まで
Apache Tomcat 7.0.0 から 7.0.99 まで

・CVE-2019-17569
Apache Tomcat 9.0.28 から 9.0.30 まで
Apache Tomcat 8.5.48 から 8.5.50 まで
Apache Tomcat 7.0.98 から 7.0.99 まで

これらのバージョンには、細工されたHTTPヘッダを含むHTTPリクエストを処理することで、情報を改ざんされるなど(CVE-2020-1935、CVE-2019-17569)および、WEB-INFやMETA-INF、またはServletContext.getResourceAsStream() が到達可能ディレクトリ配下の任意のファイルを読み取られる、また、Webアプリケーションがファイルのアップロードおよび保存を許可している場合に第三者に任意のコードを実行される(CVE-2020-1938)の脆弱性が存在する。

JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。最新版は「Apache Tomcat 9.0.31」「Apache Tomcat 8.5.51」「Apache Tomcat 7.0.100」となっている。

《吉澤 亨史( Kouji Yoshizawa )》

関連記事

PageTop

特集

アクセスランキング

  1. リモートワークで社外に出ると失われる「3つの防御壁」とは?

    リモートワークで社外に出ると失われる「3つの防御壁」とは?PR

  2. 脆弱性があるが開発者と連絡がつかないソフト一覧、使用中止呼びかけ(JVN)

    脆弱性があるが開発者と連絡がつかないソフト一覧、使用中止呼びかけ(JVN)

  3. 機械学習アルゴリズムに脆弱性(JVN)

    機械学習アルゴリズムに脆弱性(JVN)

  4. 新型コロナウイルス感染症による入学式中止メールを誤送信、805名のアドレスが流出(創価大学)

    新型コロナウイルス感染症による入学式中止メールを誤送信、805名のアドレスが流出(創価大学)

  5. 「Apache Tomcat」の脆弱性を確認するアクセスが増加(警察庁)

    「Apache Tomcat」の脆弱性を確認するアクセスが増加(警察庁)

  6. CISO に求める役割ベスト3とこれから求める役割(IPA)

    CISO に求める役割ベスト3とこれから求める役割(IPA)

  7. 「Xbox Series X」使用予定のソースコードが盗まれる(AMD)

    「Xbox Series X」使用予定のソースコードが盗まれる(AMD)

  8. 「アカウントを更新できなかった」とする偽Amazonメール(フィッシング対策協議会)

    「アカウントを更新できなかった」とする偽Amazonメール(フィッシング対策協議会)

  9. 成人向け動画にログインすると別人アカウントに切り替わり、購入・視聴履歴等 閲覧可能に(ソフト・オン・デマンド)

    成人向け動画にログインすると別人アカウントに切り替わり、購入・視聴履歴等 閲覧可能に(ソフト・オン・デマンド)

  10. アンケート回答で1万円、Amazon騙るフィッシングメール(フィッシング対策協議会)

    アンケート回答で1万円、Amazon騙るフィッシングメール(フィッシング対策協議会)

ランキングをもっと見る