| 概要 | The documentation of Apache Tomcat 10.1.0-M1 to 10.1.0-M14, 10.0.0-M1 to 10.0.20, 9.0.13 to 9.0.62 and 8.5.38 to 8.5.78 for the EncryptInterceptor incorrectly stated it enabled Tomcat clustering to run over an untrusted network. This was not correct. While the EncryptInterceptor does provide confidentiality and integrity protection, it does not protect against all risks associated with running over any untrusted network, particularly DoS risks. |
|---|---|
| 公表日 | 2022年5月12日17:15 |
| 登録日 | 2022年5月12日20:00 |
| 最終更新日 | 2024年11月21日15:59 |
| CVSS3.1 : HIGH | |
| スコア | 7.5 |
|---|---|
| ベクター | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
| 攻撃元区分(AV) | ネットワーク |
| 攻撃条件の複雑さ(AC) | 低 |
| 攻撃に必要な特権レベル(PR) | 不要 |
| 利用者の関与(UI) | 不要 |
| 影響の想定範囲(S) | 変更なし |
| 機密性への影響(C) | なし |
| 完全性への影響(I) | なし |
| 可用性への影響(A) | 高 |
| CVSS2.0 : MEDIUM | |
| スコア | 5.0 |
|---|---|
| ベクター | AV:N/AC:L/Au:N/C:N/I:N/A:P |
| 攻撃元区分(AV) | ネットワーク |
| 攻撃条件の複雑さ(AC) | 低 |
| 攻撃前の認証要否(Au) | 不要 |
| 機密性への影響(C) | なし |
| 完全性への影響(I) | なし |
| 可用性への影響(A) | 低 |
| 全ての特権を取得 | いいえ |
| ユーザー権限を取得 | いいえ |
| その他の権限を取得 | いいえ |
| ユーザー操作が必要 | いいえ |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:apache:tomcat:10.1.0:milestone3:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:10.1.0:milestone4:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:10.1.0:milestone5:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:10.1.0:milestone1:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:10.1.0:milestone2:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:10.1.0:milestone7:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:10.1.0:milestone8:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:10.1.0:milestone9:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:10.1.0:milestone6:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:10.1.0:milestone10:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:10.1.0:milestone11:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:10.1.0:milestone12:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:10.1.0:milestone13:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:10.1.0:milestone14:*:*:*:*:*:* | |||||
| cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 10.0.0 | 10.0.20 | |||
| cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 9.0.13 | 9.0.62 | |||
| cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 8.5.38 | 8.5.78 | |||
| 構成2 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:* | |||||
| cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:* | |||||
| 構成3 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:oracle:hospitality_cruise_shipboard_property_management_system:20.2.1:*:*:*:*:*:*:* | |||||
| タイトル | Apache Tomcat の EncryptInterceptor のドキュメントにおける記載誤りの問題 |
|---|---|
| 概要 | Apache Tomcat の EncryptInterceptor のドキュメントには、Tomcat クラスタリングが信頼できないネットワーク上で実行される際に、十分な保護を提供できると認識されるような誤った記載がされていました（CVE-2022-29885）。 EncryptInterceptor は、機密性と整合性の保護を提供しますが、信頼できないネットワーク上での実行に関連するすべてのリスクへの保護を提供するわけではなく、特にサービス運用妨害（DoS）リスクは保護していません。 |
| 想定される影響 | 信頼できないネットワーク上で EncryptInterceptor を用いたクラスタリングを実行している場合、想定する保護ができない可能性があります。 |
| 対策 | 以下のバージョンの EncryptInterceptor のドキュメントにて、信頼できないネットワーク上で Tomcat クラスタリングを実行するための十分な保護は提供されないと記載内容が修正されています。 * Apache Tomcat 10.1.0-M15 * Apache Tomcat 10.0.21 * Apache Tomcat 9.0.63 * Apache Tomcat 8.5.79 [代替ソリューションを利用する] 信頼できないネットワーク上で EncryptInterceptor を用いたクラスタリングを実行している場合、VPN を介したクラスタリング通信の実行などの代替ソリューションに切り替える必要があります。 |
| 公表日 | 2022年5月11日0:00 |
| 登録日 | 2022年5月12日17:44 |
| 最終更新日 | 2024年6月18日14:09 |
| Apache Software Foundation |
| Apache Tomcat 10.0.0-M1 から 10.0.20 までのバージョン |
| Apache Tomcat 10.1.0-M1 から 10.1.0-M14 までのバージョン |
| Apache Tomcat 8.5.38 から 8.5.78 までのバージョン |
| Apache Tomcat 9.0.13 から 9.0.62 までのバージョン |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2022年05月12日] 掲載 | 2022年5月12日16:45 |
| 2 | [2024年06月18日] CVSS による深刻度：内容を更新 参考情報：National Vulnerability Database (NVD) (CVE-2022-29885) を追加 CWE による脆弱性タイプ一覧：内容を更新 |
2024年6月18日14:08 |