Desktop Central オンプレミス版 ナレッジベース

Apache Tomcatの脆弱性(CVE-2020-9484)の影響はありますか?


質問

Apache Tomcatのリモートコード実行可能な脆弱性(CVE-2020-9484)の影響はありますか?

回答

いいえ、ありません。Desktop Centralは、Apache Tomcatの脆弱性CVE-2020-9484の影響を受けません。詳細は、こちらのページ(英語)をご覧ください。

CVE-2020-9484は、Apache Tomcat 8.5.55以下のバージョンにおいて、永続セッションマネージャーによって認証されていない第三者が任意のコードを実行可能であるというものです。

この脆弱性を使用するには、以下の条件を全て満たす必要がありますが、後述のPersistenceManagerを使用しないため、Desktop CentralはCVE-2020-9484の影響を受けません。また、Desktop Centralはローカルファイルインクルージョン攻撃に対しても脆弱性はありません。

  1. 悪意ある攻撃者が、サーバー上のファイル名、内容を把握し、編集できる
  2. Apache TomcatがFileStrageでPersistenceManagerを使用している
  3. PersistenceManagerにおいて、sessionAttributeValueClassNameFilter="null"またはオブジェクトのデシリアライズフィルター条件が十分に設定されていない
  4. FileStoreが使用するロケーションから、制御するファイルへの相対ファイルパスを攻撃者が知っている