独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月23日、Apache Tomcatにおける保護されていない認証情報の送信の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。
Apache Tomcat 11.0.0-M1から11.0.0-M2までのバージョン
Apache Tomcat 10.1.0-M1から10.1.5までのバージョン
Apache Tomcat 9.0.0-M1から9.0.71までのバージョン
Apache Tomcat 8.5.0から8.5.85までのバージョン
Apache Tomcatには、httpsが設定されたX-Forwarded-Protoヘッダを含むリクエストをHTTP経由でリバースプロキシから受信し、RemoteIpFilterを使用している場合、Apache Tomcatが作成するセッションCookieにSecure属性が含まれない問題（CVE-2023-28708）が存在し、ユーザエージェントが安全でないチャネルでセッションCookieを送信する可能性がある。
想定される影響としては、遠隔の第三者によってセッションCookie情報が取得される可能性がある。
開発者は本脆弱性を下記のバージョンで修正しており、JVNでは開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。
Apache Tomcat 11.0.0-M3およびそれ以降のバージョン
Apache Tomcat 10.1.6およびそれ以降のバージョン
Apache Tomcat 9.0.72およびそれ以降のバージョン
Apache Tomcat 8.5.86およびそれ以降のバージョン
![[Internet Week 2016] 厳選セキュリティセッション 第3回 「実践インシデント対応 ～事故から学ぶ～ 」 日本シーサート協議会 庄司 朋隆 氏](/imgs/p/VBQCg88_AM0-DSZSF4-0dQsJwAfOBQQDAgEA/21309.jpg)
