JVN#09470767
Apache Tomcat において不正な Cookie を送信される脆弱性

The Apache Software Foundation が提供する Apache Tomcat には、不正な Cookie を送信される脆弱性が存在します。

• Apache Tomcat 4.1.0 から 4.1.36
• Apache Tomcat 5.5.0 から 5.5.25
• Apache Tomcat 6.0.0 から 6.0.14

詳しくは開発者が提供する情報をご確認ください。

The Apache Software Foundation が提供する Apache Tomcat は、Java Servlet と JavaServer Pages のサーバ実装です。
Apache Tomcat には、Cookie 情報を生成する過程で特定の文字を

適切に処理しないため、遠隔の第三者からユーザのウェブブラウザへ不正な Cookie を送信される可能性があります。

この問題は CVE-2007-3385 への修正が不十分なため発生した問題であることが、開発者から報告されています。

ユーザのウェブブラウザ上で不正な内容の Cookie を送信される可能性があります。その結果、セッションハイジャックなどが行われる可能性があります。

アップデートする
Apache Tomcat 6.0.x および Apache Tomcat 5.5.x をお使いの場合：
開発者が提供している情報をもとに最新版へアップデートしてください。

Apache Tomcat 4.1.x をお使いの場合：
2008年02月08日時点で最新版は提供されていませんが、Apache Tomcat 4.1.37 を近日中に公開する予定であることが開発者から報告されています。

詳しくは開発者が提供する情報をご確認ください。