Apache Tomcatに複数の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は10月11日、Apache Tomcatにおける複数の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。

・CVE-2023-45648、CVE-2023-44487、CVE-2023-42795
Apache Tomcat 11.0.0-M1から11.0.0-M11まで
Apache Tomcat 10.1.0-M1から10.1.13まで
Apache Tomcat 9.0.0-M1から9.0.80まで
Apache Tomcat 8.5.0から8.5.93まで

・CVE-2023-42794
Apache Tomcat 9.0.70から9.0.80まで
Apache Tomcat 8.5.85から8.5.93まで

　The Apache Software Foundationでは、それぞれ下記のような影響を受ける可能性があるApache Tomcatの脆弱性に対するアップデートを公開した。

・HTTP Trailer headerを正しく解析しない問題（CVE-2023-45648）
→ Tomcatをリバースプロキシの背後に配備している場合、意図しないリクエストを受け付ける

・HTTP/2プロトコルを採用するサーバに大量のリクエストのキャンセルによりサーバリソースを消費する問題（CVE-2023-44487）
→サービス運用妨害（DoS）状態にされる

・内部オブジェクトを次のリクエスト/レスポンスで再利用する前にリサイクル処理をする場合、エラーが発生する問題（CVE-2023-42795）
→現在のリクエストおよびレスポンスの情報が漏えいする

・Tomcatで利用しているCommons FileUploadにアップロードされたファイルのストリームを閉じることが出来ない問題（CVE-2023-42794）
→サービス運用妨害（DoS）状態にされる

　JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。なお本脆弱性は、下記のバージョンで修正されている。

・CVE-2023-45648、CVE-2023-44487、CVE-2023-42795
Apache Tomcat 11.0.0-M12
Apache Tomcat 10.1.14
Apache Tomcat 9.0.81
Apache Tomcat 8.5.94

・CVE-2023-42794
Apache Tomcat 9.0.81
Apache Tomcat 8.5.94