NVD脆弱性詳細

CVE-2023-28708

概要	When using the RemoteIpFilter with requests received from a reverse proxy via HTTP that include the X-Forwarded-Proto header set to https, session cookies created by Apache Tomcat 11.0.0-M1 to 11.0.0.-M2, 10.1.0-M1 to 10.1.5, 9.0.0-M1 to 9.0.71 and 8.5.0 to 8.5.85 did not include the secure attribute. This could result in the user agent transmitting the session cookie over an insecure channel.
公表日	2023年3月22日20:15
登録日	2023年3月23日10:01
最終更新日	2024年11月21日16:55

影響を受けるソフトウェアの構成

構成1	以上	以下	より上	未満
cpe:2.3:a:apache:tomcat:11.0.0:milestone1::::::
cpe:2.3:a:apache:tomcat::::::::			10.1.0	10.1.6
cpe:2.3:a:apache:tomcat::::::::			9.0.0	9.0.72
cpe:2.3:a:apache:tomcat::::::::	8.5.0			8.5.86
cpe:2.3:a:apache:tomcat:11.0.0:milestone2::::::

関連情報、対策とツール

No	URL	refsource	タグ
1	https://lists.apache.org/thread/hdksc59z3s7tm39x0pp33mtwdrt8qr67		Mailing List Patch Vendor Advisory
2	https://lists.apache.org/thread/hdksc59z3s7tm39x0pp33mtwdrt8qr67		Mailing List Patch Vendor Advisory

共通脆弱性一覧

JVN脆弱性情報

Apache Tomcat における保護されていない認証情報の送信の脆弱性

タイトル	Apache Tomcat における保護されていない認証情報の送信の脆弱性
概要	Apache Tomcat には、保護されていない認証情報の送信の脆弱性が存在します。 Apache Tomcatには、https が設定された X-Forwarded-Proto ヘッダを含むリクエストを HTTP 経由でリバースプロキシから受信し、RemoteIpFilter を使用している場合において、Apache Tomcat が作成するセッション CookieにSecure 属性が含まれない問題（CVE-2023-28708）が存在します。このため、ユーザエージェントが安全でないチャネルでセッション Cookie を送信する可能性があります。
想定される影響	遠隔の第三者によって、セッションCookie情報が取得される可能性があります。
対策	[アップデートする] 開発者が提供する情報をもとに、最新版へアップデートしてください。開発者によると、本脆弱性は次のバージョンで修正されているとのことです。　* Apache Tomcat 11.0.0-M3 およびそれ以降のバージョン　* Apache Tomcat 10.1.6 およびそれ以降のバージョン　* Apache Tomcat 9.0.72 およびそれ以降のバージョン　* Apache Tomcat 8.5.86 およびそれ以降のバージョン
公表日	2023年3月23日0:00
登録日	2023年3月24日13:41
最終更新日	2023年10月4日14:51

影響を受けるシステム

Apache Software Foundation

Apache Tomcat 10.1.0-M1 から 10.1.5 までのバージョン

Apache Tomcat 11.0.0-M1 から 11.0.0-M2 までのバージョン

Apache Tomcat 8.5.0 から 8.5.85 までのバージョン

Apache Tomcat 9.0.0-M1 から 9.0.71 までのバージョン

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2023-28708	https://www.cve.org/CVERecord?id=CVE-2023-28708
National Vulnerability Database (NVD)
2	CVE-2023-28708	https://nvd.nist.gov/vuln/detail/CVE-2023-28708

ベンダー情報

No	名前	URL
Apache Tomcat
1	Fixed in Apache Tomcat 10.1.6	https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.1.6
2	Fixed in Apache Tomcat 11.0.0-M3	https://tomcat.apache.org/security-11.html#Fixed_in_Apache_Tomcat_11.0.0-M3
3	Fixed in Apache Tomcat 8.5.86	https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.86
4	Fixed in Apache Tomcat 9.0.72	https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.72
Hitachi Software Vulnerability Information
5	hitachi-sec-2023-116	https://www.hitachi.com/products/it/software/security/info/vuls/hitachi-sec-2023-116/index.html
6	hitachi-sec-2023-141	https://www.hitachi.com/products/it/software/security/info/vuls/hitachi-sec-2023-141/index.html
Pony Mail
7	[SECURITY] CVE-2023-28708 Apache Tomcat - Information	https://lists.apache.org/thread/hdksc59z3s7tm39x0pp33mtwdrt8qr67
ソフトウェア製品セキュリティ情報
8	hitachi-sec-2023-116	https://www.hitachi.co.jp/Prod/comp/soft1/security/info/vuls/hitachi-sec-2023-116/index.html
9	hitachi-sec-2023-141	https://www.hitachi.co.jp/Prod/comp/soft1/security/info/vuls/hitachi-sec-2023-141/index.html

その他

No	名前	URL
JVN
1	JVNVU#90635957	http://jvn.jp/vu/JVNVU90635957/index.html

変更履歴

No	変更内容	変更日
1	[2023年03月24日] 掲載	2023年3月24日13:41
2	[2023年05月23日] ベンダ情報：日立 (hitachi-sec-2023-116) を追加参考情報：National Vulnerability Database (NVD) (CVE-2023-28708) を追加	2023年5月23日15:36
3	[2023年10月04日] ベンダ情報：日立 (hitachi-sec-2023-141) を追加	2023年10月4日13:29