NVD Vulnerability Detail
Search Exploit, PoC
CVE-2022-29885
Summary

The documentation of Apache Tomcat 10.1.0-M1 to 10.1.0-M14, 10.0.0-M1 to 10.0.20, 9.0.13 to 9.0.62 and 8.5.38 to 8.5.78 for the EncryptInterceptor incorrectly stated it enabled Tomcat clustering to run over an untrusted network. This was not correct. While the EncryptInterceptor does provide confidentiality and integrity protection, it does not protect against all risks associated with running over any untrusted network, particularly DoS risks.

Publication Date May 12, 2022, 5:15 p.m.
Registration Date May 12, 2022, 8 p.m.
Last Update Nov. 21, 2024, 3:59 p.m.
CVSS3.1 : HIGH
スコア 7.5
Vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 低
攻撃に必要な特権レベル(PR) 不要
利用者の関与(UI) 不要
影響の想定範囲(S) 変更なし
機密性への影響(C) なし
完全性への影響(I) なし
可用性への影響(A) 高
CVSS2.0 : MEDIUM
Score 5.0
Vector AV:N/AC:L/Au:N/C:N/I:N/A:P
攻撃元区分(AV) ネットワーク
攻撃条件の複雑さ(AC) 低
攻撃前の認証要否(Au) 不要
機密性への影響(C) なし
完全性への影響(I) なし
可用性への影響(A) 低
Get all privileges. いいえ
Get user privileges いいえ
Get other privileges いいえ
User operation required いいえ
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:apache:tomcat:10.1.0:milestone3:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:10.1.0:milestone4:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:10.1.0:milestone5:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:10.1.0:milestone1:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:10.1.0:milestone2:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:10.1.0:milestone7:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:10.1.0:milestone8:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:10.1.0:milestone9:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:10.1.0:milestone6:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:10.1.0:milestone10:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:10.1.0:milestone11:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:10.1.0:milestone12:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:10.1.0:milestone13:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:10.1.0:milestone14:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* 10.0.0 10.0.20
cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* 9.0.13 9.0.62
cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* 8.5.38 8.5.78
Configuration2 or higher or less more than less than
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:*
Configuration3 or higher or less more than less than
cpe:2.3:a:oracle:hospitality_cruise_shipboard_property_management_system:20.2.1:*:*:*:*:*:*:*
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
Apache Tomcat の EncryptInterceptor のドキュメントにおける記載誤りの問題
Title Apache Tomcat の EncryptInterceptor のドキュメントにおける記載誤りの問題
Summary

Apache Tomcat の EncryptInterceptor のドキュメントには、Tomcat クラスタリングが信頼できないネットワーク上で実行される際に、十分な保護を提供できると認識されるような誤った記載がされていました（CVE-2022-29885）。 EncryptInterceptor は、機密性と整合性の保護を提供しますが、信頼できないネットワーク上での実行に関連するすべてのリスクへの保護を提供するわけではなく、特にサービス運用妨害（DoS）リスクは保護していません。

Possible impacts 信頼できないネットワーク上で EncryptInterceptor を用いたクラスタリングを実行している場合、想定する保護ができない可能性があります。 
Solution

以下のバージョンの EncryptInterceptor のドキュメントにて、信頼できないネットワーク上で Tomcat クラスタリングを実行するための十分な保護は提供されないと記載内容が修正されています。 　* Apache Tomcat 10.1.0-M15 　* Apache Tomcat 10.0.21 　* Apache Tomcat 9.0.63 　* Apache Tomcat 8.5.79 [代替ソリューションを利用する] 信頼できないネットワーク上で EncryptInterceptor を用いたクラスタリングを実行している場合、VPN を介したクラスタリング通信の実行などの代替ソリューションに切り替える必要があります。

Publication Date May 11, 2022, midnight
Registration Date May 12, 2022, 5:44 p.m.
Last Update June 18, 2024, 2:09 p.m.
Affected System
Apache Software Foundation
Apache Tomcat 10.0.0-M1 から 10.0.20 までのバージョン
Apache Tomcat 10.1.0-M1 から 10.1.0-M14 までのバージョン
Apache Tomcat 8.5.38 から 8.5.78 までのバージョン
Apache Tomcat 9.0.13 から 9.0.62 までのバージョン
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
1 [2022年05月12日]   掲載 May 12, 2022, 4:45 p.m.
2 [2024年06月18日]
  CVSS による深刻度：内容を更新
  参考情報：National Vulnerability Database (NVD) (CVE-2022-29885) を追加
  CWE による脆弱性タイプ一覧：内容を更新
 June 18, 2024, 2:08 p.m.