openGion Project

情報共有です。

Apache Tomcatにおける無効なHTTPヘッダの取り扱いに関する問題
https://jvn.jp/vu/JVNVU93003913/index.html

Apache Tomcatには、無効なHTTPヘッダの取り扱い方法に起因して、リクエストスマグリング攻撃が行われる可能性のある問題が存在します。

影響を受けるシステム
Apache Tomcat 10.1.0-M1から10.1.0までのバージョン
Apache Tomcat 10.0.0-M1から10.0.26までのバージョン
Apache Tomcat 9.0.0-M1から9.0.67までのバージョン
Apache Tomcat 8.5.0から8.5.82までのバージョン

詳細情報
Apache TomcatにてrejectIllegalHeaderをfalse（8.5系だけは初期設定）とし、無効なHTTPヘッダを無視する設定としている場合、Tomcatは無効なContent-Lengthヘッダを含むリクエストであっても拒否しないという問題（CVE-2022-42252）があります。
==================================================================
≪個人的な見解≫
① 8.5系だけは初期設定であり調査が必要。それ以外は変更していないので、問題ない。
② 8.5系でも、AJP ポートをコメントアウトしていれば、問題ない。
<Connector port ="8009" protocol="AJP/1.3" redirectPort="8443"/> ← コメントアウトしている
※ 基本的には、Apache などのWebサーバーとの連携はしていない。

==================================================================
≪参考≫
http://support.ptc.com/help/thingworx_hc/thingworx_8_hc/ja/index.html#page/ThingWorx/Help/Installation/Installation/install_java_and_apache_tomcat__rhel_.html

27. Tomcat がインストールされている場所で、conf/server.xml を開き、以下の行を見つけます。見つかった場合、コメントアウトしてファイルを保存します。
<Connector port ="8009" protocol="AJP/1.3" redirectPort="8443"/>
*
Apache Tomcat 9.0 以降では、rejectIllegalHeader 属性はデフォルトで true に設定されています。conf/web.xml ファイルを手動で修正してこの属性を false に設定することは、PTC によって推奨されておらず、サポートもされていません。