Apache Tomcatに情報漏えいの脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は6月22日、Apache Tomcatにおける情報漏えいの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。

Apache Tomcat 11.0.0-M5
Apache Tomcat 10.1.8
Apache Tomcat 9.0.74
Apache Tomcat 8.5.88

　Apache Tomcatのバグ66512の修正で発生したリグレッションが、バグ66591として報告され修正されているが、本リグレッションには、レスポンスにHTTPヘッダが設定されていない場合、AJP SEND_HEADERSメッセージが送信されない問題がある。これにより少なくともひとつのAJPベースのプロキシ（mod_proxy_ajp）で、該当するリクエストに対し以前のリクエストのレスポンスヘッダが使用されるという問題（CVE-2023-34981）があり、レスポンスヘッダの情報が漏えいする可能性がある。

　JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。なお開発者は、本脆弱性を次のバージョンで修正している。

Apache Tomcat 11.0.0-M6およびそれ以降のバージョン
Apache Tomcat 10.1.9およびそれ以降のバージョン
Apache Tomcat 9.0.75およびそれ以降のバージョン
Apache Tomcat 8.5.89およびそれ以降のバージョン