「Apache Tomcat」に複数脆弱性 - 10月と11月の更新で修正

「Apache Tomcat」の開発チームは、10月、11月にリリースしたアップデートで複数の脆弱性を解消したとして利用者に注意を呼びかけた。

現地時間11月18日にアドバイザリを公開し、直近2回のアップデートで3件の脆弱性を解消したことを明らかにしたもの。

「CVE-2024-52316」は、カスタマイズされたJakarta認証コンポーネントを利用する特定条件下で認証がバイパスされる脆弱性。さらに「HTTP/2」の処理においてリクエストやレスポンスがユーザー間で混同される「CVE-2024-52317」に対応した。

さらに「JSPタグ」の出力が正しくエスケープされず、クロスサイトスクリプティング（XSS）攻撃が可能となる「CVE-2024-52318」を解消している。

開発チームでは、「CVE-2024-52317」「CVE-2024-52318」の重要度を4段階中、上から2番目にあたる「重要（Important）」とレーティングした。

（Security NEXT - 2024/11/21 ）ツイート