�ｿｽy�ｿｽ�ｿｽ�ｿｽp�ｿｽK�ｿｽC�ｿｽh�ｿｽz

JVNDB-2022-002639

Apache Tomcat �ｿｽﾉゑｿｽ�ｿｽ�ｿｽ�ｿｽ髢ｳ�ｿｽ�ｿｽ�ｿｽ�ｿｽ HTTP �ｿｽw�ｿｽb�ｿｽ_�ｿｽﾌ趣ｿｽ闊ｵ�ｿｽ�ｿｽ�ｿｽﾉ関ゑｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ

�ｿｽT�ｿｽv

Apache Tomcat �ｿｽﾉは、�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ HTTP �ｿｽw�ｿｽb�ｿｽ_�ｿｽﾌ趣ｿｽ闊ｵ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ@�ｿｽﾉ起�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽﾄ、�ｿｽ�ｿｽ�ｿｽN�ｿｽG�ｿｽX�ｿｽg�ｿｽX�ｿｽ}�ｿｽO�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽO�ｿｽU�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽs�ｿｽ�ｿｽ�ｿｽ�ｿｽﾂ能�ｿｽ�ｿｽ�ｿｽﾌゑｿｽ�ｿｽ�ｿｽ�ｿｽ閧ｪ�ｿｽ�ｿｽ�ｿｽﾝゑｿｽ�ｿｽﾜゑｿｽ�ｿｽB

Apache Tomcat �ｿｽﾉゑｿｽ rejectIllegalHeader �ｿｽ�ｿｽ false �ｿｽi8.5 �ｿｽn�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽﾍ擾ｿｽ�ｿｽ�ｿｽ�ｿｽﾝ抵ｿｽj �ｿｽﾆゑｿｽ�ｿｽA�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ HTTP �ｿｽw�ｿｽb�ｿｽ_�ｿｽｳ趣ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽﾝ抵ｿｽﾆゑｿｽ�ｿｽﾄゑｿｽ�ｿｽ�ｿｽ鼾��ｿｽATomcat �ｿｽﾍ厄ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ Content-Length �ｿｽw�ｿｽb�ｿｽ_�ｿｽ�ｿｽ�ｿｽﾜむ��ｿｽ�ｿｽN�ｿｽG�ｿｽX�ｿｽg�ｿｽﾅゑｿｽ�ｿｽ�ｿｽ�ｿｽﾄゑｿｽ�ｿｽ�ｿｽ�ｿｽﾛゑｿｽ�ｿｽﾈゑｿｽ�ｿｽﾆゑｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ �ｿｽiCVE-2022-42252�ｿｽj �ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽﾜゑｿｽ�ｿｽB
CVSS �ｿｽﾉゑｿｽ�ｿｽ[�ｿｽ�ｿｽ�ｿｽx (CVSS �ｿｽﾆゑｿｽ?)

CVSS v3 �ｿｽﾉゑｿｽ�ｿｽ[�ｿｽ�ｿｽ�ｿｽx
�ｿｽ�ｿｽ{�ｿｽl: 7.5 (�ｿｽd�ｿｽv) [NVD�ｿｽl]
  • �ｿｽU�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ謨ｪ: �ｿｽl�ｿｽb�ｿｽg�ｿｽ�ｿｽ�ｿｽ[�ｿｽN
  • �ｿｽU�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽﾌ包ｿｽ�ｿｽG�ｿｽ�ｿｽ: �ｿｽ�ｿｽ
  • �ｿｽU�ｿｽ�ｿｽ�ｿｽﾉ必�ｿｽv�ｿｽﾈ難ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽx�ｿｽ�ｿｽ: �ｿｽs�ｿｽv
  • �ｿｽ�ｿｽ�ｿｽp�ｿｽﾒの関与: �ｿｽs�ｿｽv
  • �ｿｽe�ｿｽ�ｿｽ�ｿｽﾌ想�ｿｽ�ｿｽﾍ茨ｿｽ: �ｿｽﾏ更�ｿｽﾈゑｿｽ
  • �ｿｽ@�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽﾖの影�ｿｽ�ｿｽ(C): �ｿｽﾈゑｿｽ
  • �ｿｽ�ｿｽ�ｿｽS�ｿｽ�ｿｽ�ｿｽﾖの影�ｿｽ�ｿｽ(I): �ｿｽ�ｿｽ
  • �ｿｽﾂ用�ｿｽ�ｿｽ�ｿｽﾖの影�ｿｽ�ｿｽ(A): �ｿｽﾈゑｿｽ
�ｿｽe�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽｯゑｿｽV�ｿｽX�ｿｽe�ｿｽ�ｿｽ


Apache Software Foundation
  • Apache Tomcat 10.1.0-M1 �ｿｽ�ｿｽ�ｿｽ�ｿｽ 10.1.0 �ｿｽﾜでのバ�ｿｽ[�ｿｽW�ｿｽ�ｿｽ�ｿｽ�ｿｽ
  • Apache Tomcat 10.0.0-M1 �ｿｽ�ｿｽ�ｿｽ�ｿｽ 10.0.26 �ｿｽﾜでのバ�ｿｽ[�ｿｽW�ｿｽ�ｿｽ�ｿｽ�ｿｽ
  • Apache Tomcat 9.0.0-M1 �ｿｽ�ｿｽ�ｿｽ�ｿｽ 9.0.67 �ｿｽﾜでのバ�ｿｽ[�ｿｽW�ｿｽ�ｿｽ�ｿｽ�ｿｽ
  • Apache Tomcat 8.5.0 �ｿｽ�ｿｽ�ｿｽ�ｿｽ 8.5.82 �ｿｽﾜでのバ�ｿｽ[�ｿｽW�ｿｽ�ｿｽ�ｿｽ�ｿｽ

�ｿｽz�ｿｽ閧ｳ�ｿｽ�ｿｽ�ｿｽe�ｿｽ�ｿｽ

Tomcat �ｿｽﾍ不�ｿｽ�ｿｽ�ｿｽﾈヘ�ｿｽb�ｿｽ_�ｿｽ�ｿｽ�ｿｽﾜむ��ｿｽ�ｿｽN�ｿｽG�ｿｽX�ｿｽg�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽﾛゑｿｽ�ｿｽﾈゑｿｽ�ｿｽ�ｿｽ�ｿｽﾟ、Tomcat �ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽo�ｿｽ[�ｿｽX�ｿｽv�ｿｽ�ｿｽ�ｿｽL�ｿｽV�ｿｽﾌ背�ｿｽ�ｿｽﾉ配�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽﾄゑｿｽ�ｿｽ�ｿｽ鼾��ｿｽA�ｿｽ�ｿｽ�ｿｽN�ｿｽG�ｿｽX�ｿｽg�ｿｽX�ｿｽ}�ｿｽO�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽO�ｿｽU�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽs�ｿｽ�ｿｽ�ｿｽ�ｿｽﾂ能�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽﾜゑｿｽ�ｿｽB
�ｿｽﾎ搾ｿｽ

[�ｿｽA�ｿｽb�ｿｽv�ｿｽf�ｿｽ[�ｿｽg�ｿｽ�ｿｽ�ｿｽ�ｿｽ]
�ｿｽJ�ｿｽ�ｿｽ�ｿｽﾒゑｿｽ�ｿｽ氓�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽﾆに、�ｿｽﾅ新�ｿｽo�ｿｽ[�ｿｽW�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽﾉア�ｿｽb�ｿｽv�ｿｽf�ｿｽ[�ｿｽg�ｿｽ�ｿｽ�ｿｽﾄゑｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽB
�ｿｽJ�ｿｽ�ｿｽ�ｿｽﾒは、�ｿｽ{�ｿｽﾆ弱性�ｿｽﾌ対搾ｿｽ�ｿｽﾅとゑｿｽ�ｿｽﾄ趣ｿｽ�ｿｽﾌバ�ｿｽ[�ｿｽW�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽ[�ｿｽX�ｿｽ�ｿｽ�ｿｽﾄゑｿｽ�ｿｽﾜゑｿｽ�ｿｽB

�ｿｽ@* Apache Tomcat 10.1.1 �ｿｽ�ｿｽ�ｿｽ�ｿｽﾑゑｿｽ�ｿｽ�ｿｽﾈ降
�ｿｽ@* Apache Tomcat 10.0.27 �ｿｽ�ｿｽ�ｿｽ�ｿｽﾑゑｿｽ�ｿｽ�ｿｽﾈ降
�ｿｽ@* Apache Tomcat 9.0.68 �ｿｽ�ｿｽ�ｿｽ�ｿｽﾑゑｿｽ�ｿｽ�ｿｽﾈ降
�ｿｽ@* Apache Tomcat 8.5.83 �ｿｽ�ｿｽ�ｿｽ�ｿｽﾑゑｿｽ�ｿｽ�ｿｽﾈ降

[�ｿｽﾝ抵ｿｽ�ｿｽﾏ更�ｿｽ�ｿｽ�ｿｽ�ｿｽ]
rejectIllegalHeader �ｿｽ�ｿｽ true �ｿｽﾉ設定す�ｿｽ�ｿｽB

�ｿｽx�ｿｽ�ｿｽ�ｿｽ_�ｿｽ�ｿｽ�ｿｽ

Apache Software Foundation
CWE�ｿｽﾉゑｿｽ�ｿｽﾆ弱性�ｿｽ^�ｿｽC�ｿｽv�ｿｽ齬�  CWE�ｿｽﾆゑｿｽ?

  1. HTTP �ｿｽ�ｿｽ�ｿｽN�ｿｽG�ｿｽX�ｿｽg�ｿｽX�ｿｽ}�ｿｽO�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽO(CWE-444) [�ｿｽ�ｿｽ�ｿｽﾌ托ｿｽ]
�ｿｽ�ｿｽ�ｿｽﾊ脆弱性�ｿｽ�ｿｽ�ｿｽﾊ子(CVE)  CVE�ｿｽﾆゑｿｽ?

  1. CVE-2022-42252
�ｿｽQ�ｿｽl�ｿｽ�ｿｽ�ｿｽ

  1. JVN : JVNVU#93003913
  2. National Vulnerability Database (NVD) : CVE-2022-42252
�ｿｽX�ｿｽV�ｿｽ�ｿｽ�ｿｽ�ｿｽ

  • [2022�ｿｽN11�ｿｽ�ｿｽ04�ｿｽ�ｿｽ]
      �ｿｽf�ｿｽ�ｿｽ
  • [2022�ｿｽN11�ｿｽ�ｿｽ07�ｿｽ�ｿｽ]
      �ｿｽe�ｿｽ�ｿｽ�ｿｽ�ｿｽ�ｿｽｯゑｿｽV�ｿｽX�ｿｽe�ｿｽ�ｿｽ�ｿｽF�ｿｽ�ｿｽ�ｿｽe�ｿｽ�ｿｽ�ｿｽX�ｿｽV

�ｿｽ�ｿｽ�ｿｽ\�ｿｽ�ｿｽ2022/11/02
�ｿｽo�ｿｽ^�ｿｽ�ｿｽ2022/11/04
�ｿｽﾅ終�ｿｽX�ｿｽV�ｿｽ�ｿｽ2022/11/07
OSZAR »