JVNDB-2022-001806
|
Apache Tomcat における WebSocket 接続の実装に関する問題
|
Apache Tomcat には、WebSocket 接続の実装に起因する、データが誤った用途に利用される問題が存在します。
Web アプリケーションに WebSocket 接続のクローズと同時に WebSocket メッセージを送信した場合、アプリケーションは、ソケットが閉じられた後もソケットを使用し続ける可能性があります(CVE-2022-25762)。
これにより、後続の WebSocket 接続が同一の WebSocket オブジェクトを同時に使用してしまい、データが誤って返答されたり他のエラーが発生する可能性があります。
|
CVSS v3 による深刻度 基本値: 8.6 (重要) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): 低
- 可用性への影響(A): 低
CVSS v2 による深刻度 基本値: 7.5 (危険) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 部分的
- 完全性への影響(I): 部分的
- 可用性への影響(A): 部分的
|
|
Apache Software Foundation
- Apache Tomcat 9.0.0.M1 から 9.0.20 までのバージョン
- Apache Tomcat 8.5.0 から 8.5.75 までのバージョン
|
|
WebSocket 接続のクローズと同時に WebSocket メッセージを送信されることで、予期せぬエラーが発生し、セキュリティ上の問題が引き起こされる可能性があります。
|
[アップデートする]
開発者が提供する情報をもとに、最新バージョンにアップデートしてください。
開発者は、本脆弱性の対策版として次のバージョンをリリースしています。
* Apache Tomcat 9.0.21 およびそれ以降
* Apache Tomcat 8.5.76 およびそれ以降
|
Apache Software Foundation
日立
|
- リソースの不適切なシャットダウンおよびリリース(CWE-404) [その他]
|
- CVE-2022-25762
|
- JVN : JVNVU#94243578
- National Vulnerability Database (NVD) : CVE-2022-25762
|
- [2022年05月17日]
掲載
- [2023年08月09日]
ベンダ情報:日立 (hitachi-sec-2023-131) を追加
- [2024年06月20日]
CVSS による深刻度:内容を更新
- [2024年07月04日]
ベンダ情報:日立 (hitachi-sec-2024-123) を追加
|