「Apache Tomcat」にDoS脆弱性 - 6月のアップデートで修正済み

「Apache Tomcat」の開発チームは、サービス拒否の脆弱性を明らかにした。6月のアップデートで修正済みだという。

9月23日にメーリングリストへ投稿し、サービス拒否の脆弱性「CVE-2024-38286」について明らかにしたもの。重要度を4段階中、上から2番目にあたる「重要（Important）」とレーティングしている。

特定の設定において、「TLSハンドシェイクプロセス」によりヒープメモリを枯渇させ、サービス拒否を引き起こすことが可能になるという。

6月19日にリリースした「同10.1.25」「同9.0.90」にて修正済みとしており、利用者に注意を呼びかけた。

これらバージョンでは、「HTTP/2ストリーム」における「HTTPヘッダ」の処理に起因するサービス拒否の脆弱性「CVE-2024-34750」についても修正されている。

（Security NEXT - 2024/09/25 ）ツイート