[upki-fed:01437] 【注意喚起】 Apache Tomcat の脆弱性について

[xxxxxxxxxxxxxx@xxxxxxxxx]

IdP運用担当者　各位
学認情報交換ML参加者　各位

国立情報学研究所　学認事務局です。
平素より学認の運営にご協力を賜り，ありがとうございます。

The Apache Software Foundation から Apache Tomcat において
脆弱性が修正されたソフトウェアが公開されましたのでお知らせいたします。
システムに対する影響を検討の上、速やかに措置を講じるようお願いいたします。

１　脆弱性の影響を受けるソフトウェア

- Apache Tomcat 10.0.0.M1 から 10.0.6 までのバージョン
- Apache Tomcat 9.0.0.M1 から 9.0.46 までのバージョン
- Apache Tomcat 8.5.0 から 8.5.66 までのバージョン
- Apache Tomcat 7.0.0 から 7.0.108 までのバージョン

２　対策および回避策

以下の対策済みバージョンにバージョンアップする。
- Apache Tomcat 10.0.7 以降
- Apache Tomcat 9.0.48 以降
- Apache Tomcat 8.5.68 以降
- Apache Tomcat 7.0.109 以降

 * Fixed in Apache Tomcat 10.0.7
https://tomcat.apache.org/security-10.html#Fixed_in_Apache_Tomcat_10.0.7
 * Tomcat 10 Software Downloads (10.0.8)
https://tomcat.apache.org/download-10.cgi#10.0.8
 * Fixed in Apache Tomcat 9.0.48
https://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.48
 * Tomcat 9 Software Downloads (9.0.50)
https://tomcat.apache.org/download-90.cgi#9.0.50
 * Fixed in Apache Tomcat 8.5.68
https://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.5.68
 * Tomcat 8 Software Downloads (8.5.69)
https://tomcat.apache.org/download-80.cgi#8.5.69
 * Fixed in Apache Tomcat 7.0.109
https://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.109
 * Tomcat 7 Software Downloads (7.0.109)
https://archive.apache.org/dist/tomcat/tomcat-7/v7.0.109/

なお、Apache Tomcat チームは、Tomcat 
7.0.xのサポートは、すでに、2021年3月31日で終了し、
以降、セキュリティ脆弱性には対応しないと発表しています。

速やかに、8.5.x、9.0.x、10.0.x へのアップデートを行ってください。
http://tomcat.apache.org/tomcat-70-eol.html

* [2021-04-02-2] サポートが終了したソフトウェア等の使用禁止について 
(注意喚起)
https://wiki.nii.ac.jp/wiki/x/1wBfAw

３　参考情報

Security NEXT
「Apache Tomcat」の脆弱性が明らかに - 6月のアップデートで修正済み
https://www.security-next.com/128095

JVN
JVNVU#91880022 Apache Tomcatにおける複数の脆弱性
https://jvn.jp/vu/JVNVU91880022/

Apache Software Foundation
Apache Tomcat 10.x vulnerabilities
https://tomcat.apache.org/security-10.html

Apache Software Foundation
Apache Tomcat 9.x vulnerabilities
https://tomcat.apache.org/security-9.html

Apache Software Foundation
Apache Tomcat 8.x vulnerabilities
https://tomcat.apache.org/security-8.html

Apache Software Foundation
Apache Tomcat 7.x vulnerabilities
https://tomcat.apache.org/security-7.html

MITRE
CVE-2021-30639
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-30639

MITRE
CVE-2021-30640
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-30640

MITRE
CVE-2021-33037
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-33037
*****

--
===============================================
国立情報学研究所　学術基盤課　総括・連携基盤チーム（認証担当）
お問い合わせフォーム：https://www.gakunin.jp/contact
===============================================