【活用ガイド】

[English]

JVNDB-2009-000036

Apache Tomcat における情報漏えいの脆弱性

概要

The Apache Software Foundation が提供する Apache Tomcat には、情報漏えいの脆弱性が存在します。

The Apache Software Foundation が提供する Apache Tomcat は、Java Servlet と JavaServer Pages のサーバ実装です。
Apache Tomcat には、特定のメソッドを利用したアプリケーションにおいて、WEB-INF ディレクトリ配下の情報が漏えいする脆弱性が存在します。

開発者によると、現在サポート対象外となっている Apache Tomcat 3.x、4.0.x、および 5.0.x も、本脆弱性の影響を受ける可能性があるとのことです。
詳しくは開発者が提供する情報をご確認ください。

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC がベンダとの調整を行いました。
報告者:富士通株式会社 ミドルウェア事業本部 アプリケーションマネジメント・ミドルウェア事業部 第二開発部 飯田 峰彦 氏、鈴木 雄一郎 氏

CVSS による深刻度 (CVSS とは?)

CVSS v2 による深刻度
基本値: 4.3 (警告) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
影響を受けるシステム


Apache Software Foundation
  • Apache Tomcat 4.1.0 から 4.1.39 まで
  • Apache Tomcat 5.5.0 から 5.5.27 まで
  • Apache Tomcat 6.0.0 から 6.0.18 まで
VMware
  • VMware ESX 4.0
  • VMware ESX 3.5
  • VMware ESX 3.0.3
  • VMware Server 2.x
  • VMware vCenter 4.0
  • VMware VirtualCenter 2.5
  • VMware VirtualCenter 2.0.2
アップル
  • Apple Mac OS X Server v10.5.8
  • Apple Mac OS X Server v10.6 から v10.6.2
サン・マイクロシステムズ
  • OpenSolaris (sparc) 
  • OpenSolaris (x86) 
  • Sun Solaris 10 (sparc) 
  • Sun Solaris 10 (x86) 
  • Sun Solaris 9 (sparc) 
  • Sun Solaris 9 (x86) 
ヒューレット・パッカード
  • HP-UX Tomcat-based Servlet Engine 5.5.30.01 未満
  • HP-UX 11.11 
  • HP-UX 11.23 
  • HP-UX 11.31 
ミラクル・リナックス
  • Asianux Server 3 (x86) 
  • Asianux Server 3 (x86-64) 
  • Asianux Server 2.0 
  • Asianux Server 2.1 
レッドハット
  • Red Hat Enterprise Linux 5 (server) 
  • Red Hat Enterprise Linux Desktop 5.0 (client) 
  • Red Hat Enterprise Linux EUS 5.3.z (server) 
  • RHEL Desktop Workstation 5 (client) 
日本電気
  • InfoFrame DocumentSkipper
  • MCOne
  • WebSAM SECUREMASTER
富士通
  • Interstage Application Framework Suite
  • Interstage Application Server
  • Interstage Apworks
  • Interstage Business Application Server
  • Interstage Job Workload Server
  • Interstage Studio
  • Interstage Web Server
  • 行政文書管理システム for WEB
  • 総合文書管理システム for WEB

想定される影響

遠隔の第三者により不正なリクエストを送られた場合、WEB-INF ディレクトリ配下に設置したアプリケーション内部に含まれるパスワードや設定情報などが漏えいする可能性があります。
対策

[アップデートする]
Apache Tomcat 6.0.x をお使いの場合:
開発者が提供している情報をもとに Apache Tomcat 6.0.20 へアップデートしてください。

Apache Tomcat 5.5.x および Apache Tomcat 4.1.x をお使いの場合:
2009年06月09日現在、Apache Tomcat 5.5.x および Apache Tomcat 4.1.x の最新版は公開されていませんが、開発者が提供している情報をもとに、最新版のソースを svn から入手してください。
それぞれの最新版が公開された際には、最新版へアップデートしてください。

詳しくは、開発者が提供する情報をご確認ください。
ベンダ情報

Apache Software Foundation VMware アップル
  • Apple Security Updates : HT4077
  • Apple セキュリティアップデート : HT4077
オラクル サン・マイクロシステムズ
  • Sun Alert Notification : 263529
ヒューレット・パッカード ミラクル・リナックス レッドハット 日本電気
  • NEC製品セキュリティ情報 : NV09-008
富士通
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 情報漏えい(CWE-200) [IPA評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2008-5515
参考情報

  1. JVN : JVN#63832775
  2. National Vulnerability Database (NVD) : CVE-2008-5515
  3. SecurityFocus : 35263
  4. VUPEN Security : VUPEN/ADV-2009-1520
更新履歴

  • [2009年06月18日]
      掲載
    [2009年08月10日]
      影響を受けるシステム:サン・マイクロシステムズ (263529) の情報を追加
      影響を受けるシステム:レッドハット (RHSA-2009:1164) の情報を追加
      影響を受けるシステム:日本電気 (NV09-008) の情報を追加
      ベンダ情報:サン・マイクロシステムズ (263529) を追加
      ベンダ情報:レッドハット (RHSA-2009:1164) を追加
      ベンダ情報:日本電気 (NV09-008) を追加
    [2009年10月08日]
      影響を受けるシステム:ミラクル・リナックス (tomcat5-5.5.23-0jpp.7.2.1AXS3) の情報を追加
      影響を受けるシステム:ミラクル・リナックス (1794) の情報を追加
      ベンダ情報:ミラクル・リナックス (tomcat5-5.5.23-0jpp.7.2.1AXS3) を追加
      ベンダ情報:ミラクル・リナックス (1794) を追加
    [2009年11月13日]
      影響を受けるシステム:ヒューレット・パッカード (HPSBUX02466) の情報を追加
      ベンダ情報:ヒューレット・パッカード (HPSBUX02466) を追加
    [2010年01月04日]
      影響を受けるシステム:VMware (VMSA-2009-0016) の情報を追加
      ベンダ情報:VMware (VMSA-2009-0016) を追加
    [2010年02月18日]
      影響を受けるシステム:日本電気 (NV09-008) の情報を更新
    [2010年04月23日]
      影響を受けるシステム:アップル (HT4077) の情報を追加
      影響を受けるシステム:日本電気 (NV09-008) の情報を更新
      ベンダ情報:アップル (HT4077) を追加
    [2010年12月13日]
      影響を受けるシステム:ヒューレット・パッカード (HPUXWSATW313) の情報を追加
      影響を受けるシステム:ヒューレット・パッカード (HPSBUX02579) の情報を追加
      ベンダ情報:ヒューレット・パッカード (HPUXWSATW313) を追加
      ベンダ情報:ヒューレット・パッカード (HPSBUX02579) を追加
    [2012年09月28日]
      ベンダ情報:オラクル (Multiple vulnerabilities in Oracle Java Web Console) を追加