Apache Tomcatにパスワードなどの機密情報を奪取される脆弱性

　独立行政法人 情報処理推進機構セキュリティセンター（IPA/ISEC）および有限責任中間法人JPCERTコーディネーションセンター（JPCERT/CC）は2月26日、The Apache Software Foundationが提供する「Apache Tomcat」に機密情報を奪取される脆弱性が存在すると公表した。

　この脆弱性は、POSTリクエストされたデータの内容が漏えいするというもの。悪用されると、リモートの第三者によって、別のユーザーのリクエストデータに含まれるパスワードやセッションID、ユーザーIDなどの情報を奪取される可能性がある。

　脆弱性が確認されたバージョンは、Apache Tomcatの4.1.32から4.1.34まで、および5.5.10から5.5.20まで。ただし、開発者によると現在サポート対象外となっているApache Tomcat 3.x、4.0.x、および5.0.xも、この脆弱性の影響を受ける可能性があるという。一方、Apache Tomcat 6.0.xは影響を受けないことが確認されている。

　The Apache Software Foundationでは、この脆弱性を解消したバージョンを公開しており、4.1.35以降、5.5.21以降、6.0.0以降にバージョンアップするよう呼びかけている。

　なお、JVNではこの脆弱性について以下のように分析している。

• 攻撃経路：インターネット経由からの攻撃が可能（高）
• 認証レベル：匿名もしくは認証なしで攻撃が可能（高）
• 攻撃成立に必要なユーザーの関与：ユーザーが何もしなくても攻撃される可能性あり（高）
• 攻撃の難易度：専門的知識や運が必要（低〜中）