「Apache Tomcat Connectors JK」に情報漏洩の脆弱性

「Apache Tomcat Connectors」の「mod_jk」に情報漏洩の脆弱性が明らかとなった。

「Apache HTTP Server」からサーブレットコンテナに対するリクエストを転送するプラグイン「mod_jk」に情報漏洩の脆弱性「CVE-2023-41081」が明らかとなったもの。

プロキシリクエストに対する明示的なマウントが提供されていない場合に、意図しないマッピングが行われ、意図せずステータスワーカーが公開されたり、セキュリティ対策のバイパスなどが行われるおそれがある。

重要度は、上から2番目にあたる「重要（Important）」としている。「mod_jk」のみ影響があり、「Microsoft IIS」向けの「ISAPIリダイレクタ」は影響を受けない。

開発チームでは、現地時間9月11日にリリースした「同1.2.49」にて脆弱性を修正。同月13日に脆弱性を公表した。あわせて明示的にマウントが構成されているか確認する回避策を紹介している。

（Security NEXT - 2023/09/21 ）ツイート