JVNVU#90635957: Apache Tomcatにおける保護されていない認証情報の送信の脆弱性

CRANK

公開日：2023/03/23　最終更新日：2023/03/23JVNVU#90635957Apache Tomcatにおける保護されていない認証情報の送信の脆弱性Apache Tomcatには、保護されていない認証情報の送信の脆弱性が存在します。Apache Tomcat 11.0.0-M1から11.0.0-M2までのバージョンApache Tomcat 10.1.0-M1から10.1.5までのバージョンApache Tomcat 9.0.0-M1から9.0.71までのバージョンApache Tomcat 8.5.0から8.5.85までのバージョンApache Tomcatには、httpsが設定されたX-Forwarded-Protoヘッダを含むリクエストをHTTP経由でリバースプロキシから受信し、RemoteIpFilterを使用している場合において、Apache Tomcatが作成するセッションCookieにSecure属性が含まれない問題（CVE-2023-28708）が存在します。このため、ユーザエージェントが安全でないチャネルでセッションCookieを送信する可能性があります。遠隔の第三者によって、セッションCookie情報が取得される可能性があります。アップデートする開発者が提供する情報をもとに、最新版へアップデートしてください。開発者によると、本脆弱性は次のバージョンで修正されているとのことです。Apache Tomcat 11.0.0-M3およびそれ以降のバージ…