Apache Tomcatにパスワードなどの機密情報を奪取される脆弱性

吉澤亨史 2009年02月27日 12時38分

  • このエントリーをはてなブックマークに追加

 独立行政法人 情報処理推進機構セキュリティセンター(IPA/ISEC)および有限責任中間法人JPCERTコーディネーションセンター(JPCERT/CC)は2月26日、The Apache Software Foundationが提供する「Apache Tomcat」に機密情報を奪取される脆弱性が存在すると公表した。

 この脆弱性は、POSTリクエストされたデータの内容が漏えいするというもの。悪用されると、リモートの第三者によって、別のユーザーのリクエストデータに含まれるパスワードやセッションID、ユーザーIDなどの情報を奪取される可能性がある。

 脆弱性が確認されたバージョンは、Apache Tomcatの4.1.32から4.1.34まで、および5.5.10から5.5.20まで。ただし、開発者によると現在サポート対象外となっているApache Tomcat 3.x、4.0.x、および5.0.xも、この脆弱性の影響を受ける可能性があるという。一方、Apache Tomcat 6.0.xは影響を受けないことが確認されている。

 The Apache Software Foundationでは、この脆弱性を解消したバージョンを公開しており、4.1.35以降、5.5.21以降、6.0.0以降にバージョンアップするよう呼びかけている。

 なお、JVNではこの脆弱性について以下のように分析している。

  • 攻撃経路:インターネット経由からの攻撃が可能(高)
  • 認証レベル:匿名もしくは認証なしで攻撃が可能(高)
  • 攻撃成立に必要なユーザーの関与:ユーザーが何もしなくても攻撃される可能性あり(高)
  • 攻撃の難易度:専門的知識や運が必要(低〜中)
  • このエントリーをはてなブックマークに追加
関連キーワード
OS

SpecialPR

  • デジタル変革か?ゲームセットか?

    デジタルを駆使する破壊的なプレーヤーの出現、既存のビジネスモデルで競争力を持つプレイヤーはデジタル活用による変革が迫られている。これを読めばデジタル変革の全体像がわかる!

  • ビジネスの継続的な成長を促す新たなITのビジョン

    多くの企業においてITに求められる役割が、「守り」のコスト削減から「攻め」のビジネス貢献へとシフトしつつある。その中でIBMが提唱する新たなビジョンEnterprise Hybrid ITとは?