「Apache Tomcat」にアップデート - 脆弱性4件を修正

「Apache Tomcat」の開発チームは、現地時間10月10日に複数の脆弱性を解消するセキュリティアップデートをリリースした。

バージョンによって影響を受ける脆弱性は異なるが、「Apache Tomcat 10.1.14」「同9.0.81」「同8.5.94」をリリースし、あわせて4件の脆弱性を修正している。

具体的には「HTTP Trailer header」を正しく解析できず、リクエストスマグリング攻撃が可能となる脆弱性「CVE-2023-45648」や、内部オブジェクトの再利用にあたってエラーが生じ、情報漏洩が生じるおそれがある「CVE-2023-42795」に対応。「HTTP/2プロトコル」の処理にあたり、「ラピッドリセット攻撃」が可能となる脆弱性「CVE-2023-44487」を解消した。

さらに「同9.0系」「同8.5系」に関しては、実装されている「Apache Commons FileUpload」において、Windowsではアップロードファイルのストリームを閉じないため、ファイルの削除が行われず、ディスクを圧迫してサービス拒否が生じるおそれがある「CVE-2023-42794」にも対処している。

脆弱性の重要度については、「CVE-2023-45648」「CVE-2023-42795」「CVE-2023-44487」を4段階の評価において上から2番目にあたる「重要（Important）」とレーティング。「CVE-2023-44487」についてはもっとも低い「低（Low）」とした。

（Security NEXT - 2023/10/13 ）ツイート

「Apache Tomcat」にアップデート - 脆弱性4件を修正

関連リンク

PR

関連記事