[upki-fed:01128] 【注意喚起】Apache Tomcatの脆弱性について

[学認事務局 末永 <xxxxxxxxxxxxxx@xxxxxxxxx>]

IdP運用ご担当者　各位
学認情報交換メーリングリスト参加者　各位

　国立情報学研究所　学認事務局です。
平素より学認の運営にご協力を賜り，ありがとうございます。

Apache Tomcatプロジェクトより、脆弱性(CVE-2016-8745)に関するアナウンス
が公開されております。

本脆弱性の対象となるバージョンは次の通りです。
該当するバージョンをお使いの場合はご注意ください。

・Apache Tomcat 9.0.0.M1 から 9.0.0.M13 まで
・Apache Tomcat 8.5.0 から 8.5.8 まで
・Apache Tomcat 8.0.0.RC1 から 8.0.39 まで
・Apache Tomcat 7.0.0 から 7.0.73 まで
・Apache Tomcat 6.0.16 から 6.0.48 まで

以下のサイトなどで情報をご確認いただき、対策されたバージョンが公
開され次第、すみやかにアップデートを実施していただくことをお勧め
致します。

※ 当初、本脆弱性はApache Tomcat 8.5より前のバージョンは影響を受けない
   とされていましたが、その後、Apache Tomcat 8.5より前のバージョンも影
   響を受けることが判明しています。

(Apache Tomcat)
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.0.M15
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.9
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.0.40
https://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.74
https://tomcat.apache.org/security-6.html#Fixed_in_Apache_Tomcat_6.0.49

(JVN)
https://jvn.jp/vu/JVNVU97321122/index.html

(Red Hat)
https://access.redhat.com/security/cve/cve-2016-8745

尚、Tomcat 8.5については、IdPv3が正常に動作しないという情報があります。
詳細は以下のURLをご参照ください。

Version Requirements/Recommendations
https://wiki.shibboleth.net/confluence/display/IDP30/ApacheTomcat8

--
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++
  国立情報学研究所 学術基盤課 学認事務局　（担当：末永）
　電子メール     xxxxxxxxxxxxxx@xxxxxxxxx
　学認Webページ  https://www.gakunin.jp/
+++++++++++++++++++++++++++++++++++++++++++++++++++++++++