コンテンツ

目次

Apache Tomcat APR/native Connector の脆弱性

このページには、リリースされた Apache Tomcat APR/native Connector のバージョンで修正されたすべてのセキュリティ脆弱性が一覧表示されています。各脆弱性には、Apache Tomcat® セキュリティチームによってセキュリティ影響度評価が与えられています。この評価はプラットフォームによって異なる場合があることにご注意ください。また、この欠陥が影響を与えることが知られている Apache Tomcat APR/native Connector のバージョン、および欠陥が未確認の場合は疑問符付きでバージョンをリストしています。

注: Tomcat の脆弱性ではないが、誤って Tomcat に対して報告されたもの、または Tomcat が回避策を提供している脆弱性は、このページの最後に記載されています。

このページは、Apache Tomcat のアーカイブと CVE リストのレビューから作成されています。これらの脆弱性に関するコメントや修正は、Tomcat セキュリティチームまでお送りください。

Apache Tomcat Native Connector 1.2.17 で修正済み

中: OCSP 無効な応答の誤処理 CVE-2018-8019

OCSP レスポンダーを使用する場合、Tomcat Native は無効な応答を正しく処理しませんでした。これにより、失効したクライアント証明書が誤って識別される可能性がありました。したがって、相互 TLS を使用している場合、ユーザーが失効した証明書で認証できる可能性がありました。

これはリビジョン 1832832 で修正されました。

影響: 1.2.0 から 1.2.16 および 1.1.23 から 1.1.34

重要: OCSP 応答の誤処理により、クライアントが失効した証明書で認証できる可能性 CVE-2018-8020

Apache Tomcat Native には、証明書ステータスのリスト（複数のエントリ）である OCSP プレ生成応答を適切にチェックしない欠陥があります。その結果、失効したクライアント証明書が適切に識別されない可能性があり、相互 TLS を必要とする接続に対して、ユーザーが失効した証明書で認証できる状態になります。

これはリビジョン 1832863 で修正されました。

影響: 1.2.0 から 1.2.16 および 1.1.23 から 1.1.34

Apache Tomcat Native Connector 1.2.16 で修正済み

注: 以下の問題は Apache Tomcat Native Connector 1.2.15 で修正されましたが、1.2.15 リリース候補のリリース投票が通過しませんでした。したがって、この問題の修正を含むバージョンを入手するにはユーザーは 1.2.16 をダウンロードする必要がありますが、バージョン 1.2.15 は影響を受けるバージョンリストには含まれていません。

中: OCSP チェックの省略 CVE-2017-15698

クライアント証明書の AIA-Extension フィールドを解析する際、Apache Tomcat Native Connector は 127 バイトを超えるフィールドを正しく処理しませんでした。この解析エラーの結果、OCSP チェックがスキップされました。したがって、拒否されるべきクライアント証明書（OCSP チェックが行われていれば）が受け入れられる可能性がありました。OCSP チェックを使用していないユーザーは、この脆弱性の影響を受けません。

これはリビジョン 1815200 および 1815218 で修正されました。

この問題は、2017年11月6日に Jonas Klempel 氏によって Apache Tomcat セキュリティチームに報告され、2018年1月31日に公開されました。

影響: 1.2.0 から 1.2.14 および 1.1.23 から 1.1.34

Apache Tomcat APR/native Connector の脆弱性ではありません

TLS SSL 中間者攻撃 CVE-2009-3555

TLS プロトコルには、再ネゴシエーション中に攻撃者が任意の要求を TLS ストリームに挿入することを可能にする脆弱性が存在します。

Tomcat で使用される TLS 実装はコネクタによって異なります。APR/native コネクタは OpenSSL を使用しています。

使用されている OpenSSL のバージョンが脆弱である場合、APR/native コネクタも脆弱です。注: OpenSSL 0.9.8l でビルドすると、すべての再ネゴシエーションが無効になり、この脆弱性から保護されます。

1.1.18 以降、クライアントが開始する再ネゴシエーションは拒否され、あらゆる OpenSSL バージョンでこの脆弱性に対する部分的な保護が提供されます。

再ネゴシエーションを無効化することの影響は、アプリケーションとクライアントの両方によって異なる場合があることにユーザーは注意する必要があります。状況によっては、再ネゴシエーションの無効化により、一部のクライアントがアプリケーションにアクセスできなくなる可能性があります。

重要: リモートメモリ読み取り CVE-2014-0160（別名「Heartbleed」）

特定のバージョンの OpenSSL に存在するバグにより、認証されていないリモートユーザーがサーバーメモリの特定の内容を読み取ることが可能です。tcnative 1.1.24 - 1.1.29 のバイナリバージョンには、この脆弱なバージョンの OpenSSL が含まれています。tcnative 1.1.30 以降は、パッチが適用された OpenSSL バージョンと共に出荷されています。

この問題は、2014年4月7日に最初に発表されました。

影響: OpenSSL 1.0.1-1.0.1f, tcnative 1.1.24-1.1.29