[upki-fed:01405] 【注意喚起】Apache Tomcatの脆弱性について(2021/3/1付アドバイザリ)

[GakuNin Office <xxxxxxxxxxxxxx@xxxxxxxxx>]

IdP運用担当者　各位
学認情報交換ML参加者　各位

国立情報学研究所　学認事務局です。
平素より学認の運営にご協力を賜り，ありがとうございます。


Apache Tomcatプロジェクトより、脆弱性(CVE-2021-25122, CVE-2021-25329)
に関するアナウンスが公開されています。

本脆弱性の対象となるバージョンは次の通りです。
該当するバージョンをお使いの場合はご注意ください。
 ※ 8.0.x等、EOLを過ぎたバージョンは記載していません。

CVE-2021-25122
 - Apache Tomcat 9.0.0.M1 から 9.0.41 まで
 - Apache Tomcat 8.5.0 から 8.5.61 まで

CVE-2021-25329
 - Apache Tomcat 9.0.0.M1 から 9.0.41 まで
 - Apache Tomcat 8.5.0 から 8.5.61 まで
 - Apache Tomcat 7.0.0 から 7.0.107 まで

RHEL/CentOS 7のtomcatパッケージへの影響の有無は、3/23時点で不明です。
 ※ RHEL/CentOS 6はEOLを過ぎているため本アナウンスの対象外とさせていた
    だいています。

以下のサイトなどで情報をご確認いただき、対策されたバージョンが公開され
次第、すみやかにアップデートを実施していただくことをお勧め致します。

(Apache Tomcat)
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.43
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.63
https://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.108
https://lists.apache.org/thread.html/r7b95bc248603360501f18c8eb03bb6001ec0ee3296205b34b07105b7%40%3Cannounce.tomcat.apache.org%3E
https://lists.apache.org/thread.html/rfe62fbf9d4c314f166fe8c668e50e5d9dd882a99447f26f0367474bf%40%3Cannounce.tomcat.apache.org%3E

(Red Hat CVE Database)
https://access.redhat.com/security/cve/cve-2021-25122
https://access.redhat.com/security/cve/cve-2021-25329

----
お問い合わせ： https://www.gakunin.jp/contact