| 概要 | Improper Handling of URL Encoding (Hex Encoding) vulnerability in Apache Tomcat's rewrite valve allowed security constraint bypass for some configurations. This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.23, from 10.1.0-M1 through 10.1.56, from 9.0.0.M1 through 9.0.119, from 8.5.0 through 8.5.100. Other versions that have reached end of support may also be affected. Users are recommended to upgrade to version 11.0.24, 10.1.57 or 9.0.120, which fix the issue. |
|---|---|
| 公表日 | 2026年7月14日18:16 |
| 登録日 | 2026年7月15日4:18 |
| 最終更新日 | 2026年7月15日1:57 |
| CVSS3.1 : CRITICAL | |
| スコア | 9.1 |
|---|---|
| ベクター | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N |
| 攻撃元区分(AV) | ネットワーク |
| 攻撃条件の複雑さ(AC) | 低 |
| 攻撃に必要な特権レベル(PR) | 不要 |
| 利用者の関与(UI) | 不要 |
| 影響の想定範囲(S) | 変更なし |
| 機密性への影響(C) | 高 |
| 完全性への影響(I) | 高 |
| 可用性への影響(A) | なし |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 8.0.0 | ||||
| cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 8.5.0 | 8.5.100 | |||
| cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 9.0.0 | 9.0.119 | |||
| cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 10.1.0 | 10.1.56 | |||
| cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* | 11.0.0 | 11.0.23 | |||
| タイトル | Apache Software FoundationのApache TomcatにおけるURL エンコーディング（16進エンコーディング）の処理に関する脆弱性 |
|---|---|
| 概要 | Apache TomcatのリライトバルブにおけるURLエンコーディング（16進エンコーディング）の不適切な処理により、一部の構成でセキュリティ制約をバイパスできる脆弱性が存在しました。この問題は、Apache Tomcatのバージョン11.0.0-M1から11.0.23まで、10.1.0-M1から10.1.56まで、9.0.0-M1から9.0.119まで、8.5.0から8.5.100までに影響します。サポート終了済みのその他のバージョンにも影響がある可能性があります。ユーザーはこの問題を修正したバージョン11.0.24、10.1.57、または9.0.120にアップグレードすることを推奨します。 |
| 想定される影響 | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年7月14日0:00 |
| 登録日 | 2026年7月16日12:37 |
| 最終更新日 | 2026年7月16日12:37 |
| Apache Software Foundation |
| Apache Tomcat 10.1.0 から 10.1.56 |
| Apache Tomcat 11.0.0 から 11.0.23 |
| Apache Tomcat 8.0.0 およびそれ以前 |
| Apache Tomcat 8.5.0 から 8.5.100 |
| Apache Tomcat 9.0.0 から 9.0.119 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年07月16日] 掲載 |
2026年7月16日12:37 |