Apache TomcatにHTTP/2リクエスト処理の不備に起因する情報漏えいの脆弱性(JVN) | ScanNetSecurity
2020.10.28(水)

Apache TomcatにHTTP/2リクエスト処理の不備に起因する情報漏えいの脆弱性(JVN)

独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は10月14日、Apache TomcatにおけるHTTP/2リクエスト処理の不備に起因する情報漏えいの脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。

脆弱性と脅威 セキュリティホール・脆弱性
独立行政法人情報処理推進機構(IPA)および一般社団法人JPCERT コーディネーションセンター(JPCERT/CC)は10月14日、Apache TomcatにおけるHTTP/2リクエスト処理の不備に起因する情報漏えいの脆弱性について「Japan Vulnerability Notes(JVN)」で発表した。影響を受けるシステムは以下の通り。

Apache Tomcat 10.0.0-M1 から 10.0.0-M7 まで
Apache Tomcat 9.0.0.M1 から 9.0.37 まで
Apache Tomcat 8.5.0 から 8.5.57 まで

JVNによると、HTTP/2クライアントが接続許可された最大同時ストリーム数を超えた場合に、その接続における後続のリクエストにて意図したHTTPヘッダではなく、以前送信されたリクエストのHTTPヘッダに置き換わる可能性があり、その結果、ユーザが予期しないリソースへの応答が表示される可能性がある。

想定される影響としては、遠隔の第三者によって細工されたHTTP/2リクエストを送信され、予期しないリソースへの応答が表示されることで機微な情報が取得される可能性がある。

JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。なお、本脆弱性の対策版としてリリースされたバージョンは以下の通り。

Apache Tomcat 10.0.0-M8
Apache Tomcat 9.0.38
Apache Tomcat 8.5.58

《ScanNetSecurity》

関連記事

PageTop

特集

アクセスランキング

  1. 社員PCが「Emotet」感染、鳥羽洋行騙る暗号化ZIP付不審メール確認

    社員PCが「Emotet」感染、鳥羽洋行騙る暗号化ZIP付不審メール確認

  2. 「Emotet」関連相談が大幅増 ~ IPAの情報セキュリティ安心相談窓口

    「Emotet」関連相談が大幅増 ~ IPAの情報セキュリティ安心相談窓口

  3. Oracle Java SEに脆弱性 攻撃された場合の影響大、早急なアップデート呼びかけ

    Oracle Java SEに脆弱性 攻撃された場合の影響大、早急なアップデート呼びかけ

  4. フィッシングにひっかかりやすい「要注意メール件名」トップ10(KnowBe4)

    フィッシングにひっかかりやすい「要注意メール件名」トップ10(KnowBe4)

  5. 従業員のパソコンが「Emotet」感染、zip形式のマルウェア添付メールを送信(京セラ)

    従業員のパソコンが「Emotet」感染、zip形式のマルウェア添付メールを送信(京セラ)

  6. 「ドコモ口座」不正利用の被害件数を公開、補償完了は122件2,797万円に

    「ドコモ口座」不正利用の被害件数を公開、補償完了は122件2,797万円に

  7. シルバニアファミリーオンラインショップのメール流出、プログラム改修が原因

    シルバニアファミリーオンラインショップのメール流出、プログラム改修が原因

  8. ブロードバンドセキュリティが実施した脆弱性管理の500名調査の結果、見えてきた課題

    ブロードバンドセキュリティが実施した脆弱性管理の500名調査の結果、見えてきた課題PR

  9. 浮かび上がる全体像 CrowdStrike が結んだランサムウェアの点と線

    浮かび上がる全体像 CrowdStrike が結んだランサムウェアの点と線PR

  10. 「マンション・ラボ」に不正アクセス、記事ページが改ざん(つなぐネットコミュニケーションズ)

    「マンション・ラボ」に不正アクセス、記事ページが改ざん(つなぐネットコミュニケーションズ)

ランキングをもっと見る