「重要なお知らせ(2011年以前)」へ戻る

1. 概要

Apache Tomcat では、URLに含まれる""(バックスラッシュ)やエンコード化されたバックスラッシュ"%5C" の文字列を、有効なディレクトリの境界("/")として解釈してしまうため、Apache Tomcat と Apache HTTP Server との組み合わせで特定のApache用コネクタモジュール (mod_proxy, mod_rewrite, mod_jk) を使用している場合ディレクトリトラバーサルの脆弱性が存在します。

コネクタモジュールにより Apache Tomcat の管理画面へアクセスできないように設定していても、これを利用して次のURLにアクセスすると、管理画面にアクセス出きる可能性があります。

"http://www.example.com/foo/%5C../manager/html"

もしパスワードが推測されるような簡単なものならログインされてしまい、リモートシェルを実行出来るような任意のWebアプリケーションを配備される可能性があります。

2. 問題のある製品名

次の製品が該当します。

なおWebOTX V6.x以降では、WebOTXが提供する「運用管理コンソール」は別ポートになっており、上記の手法ではアクセス出来ないため、Apache Tomcat のように任意のアプリケーションを配備されてしまう問題はありません。

また、Webサーバを連携した場合でも、上記のようにバックスラッシュや "%5C" により別のコンテキストにアクセスする事は出来ないようになっています。

3. 対処方法

WebOTX V4.xおよびWebOTX V5.xについて、以下の手順で管理用アプリケーション(/manager)を削除してください。

4. 参考ページ

5. 更新履歴