概要

• Apache Tomcatは、新しい脆弱性を解消するセキュリティ更新をリリースしました。
• 脆弱なバージョンを使用しているサーバーの管理者は、製造元のウェブサイトを訪れ、最新バージョンに更新することが推奨されています。

説明

• Apache Tomcatは、WebSocket接続を閉じると同時にWebSocketメッセージを送信します。これにより、攻撃者がソケットを持続的に使用できる可能性があります（CVE-2022-25762）。

影響を受ける製品と最新バージョン

• Apache Tomcat 8系列: 8.5.0 から 8.5.75 -> 8.5.76 およびそれ以降のバージョン
• Apache Tomcat 9メジャーバージョン: 9.0.0.M1 から 9.0.20 -> 9.0.21 およびそれ以降

参考文献

- https://tomcat.apache.org/security-8.html
- https://tomcat.apache.org/security-9.html

TAチームのコメント

CVE-2022-25762 は Apache Tomcat サーバーの脆弱性です。

この脆弱性により、接続が閉じられた後もソケット接続が持続し、メッセージを送信できます。

これはアプリケーション自体の脆弱性であり、直接の攻撃構文を表すものではありません。

Webファイアウォールにはパターン化された応答が見当たりません。

対処法は、Apache Tomcat を更新することです。