独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は9月14日、Apache Tomcat Connectors（mod_jk）における情報漏えいの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。


Apache Tomcat Connectors mod_jk Connector 1.2.0から1.2.48
※ISAPIリダイレクタは本脆弱性の影響を受けない

　Apache Tomcat Connectors（mod_jk）には、設定情報に「JkOptions +ForwardDirectories」が含まれているのに、これがプロキシされるリクエストに対して明示的なマウントがない場合などに、暗黙的なマッピングを使用して、リクエストを最初に定義されたワーカーにマップしてしまうことによる情報漏えいの脆弱性（CVE-2023-41081）が存在し、この暗黙的なマッピングによりステータスワーカーが意図せず公開されたり、httpdで構成されたセキュリティ制約がバイパスされたりする可能性がある。

　JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。なお、 Apache Tomcat Connector (mod_jk) 1.2.49以降で暗黙的なマッピング機能は削除され、すべてのマッピングは明示的な構成によって行われるように修正されている。

元の記事を読む

編集部おすすめ