Apache Tomcat: JSESSIONID Cookie missing secure attribute in…(CVE-2023-28708)

概要

Apache Tomcat: JSESSIONID Cookie missing secure attribute in some configurations

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

When using the RemoteIpFilter with requests received from a reverse proxy via HTTP that include the X-Forwarded-Proto header set to https, session cookies created by Apache Tomcat 10.1.0 to 10.1.5, 9.0.0 to 9.0.71 and 8.5.0 to 8.5.85 did not include the secure attribute. This could result in the user agent transmitting the session cookie over an insecure channel.

Older, EOL versions may also be affected.

出典: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV

影響パッケージ

Bitnami tomcat

[{"type":"SEMVER","events":[{"introduced":"8.5.0"},{"fixed":"8.5.86"},{"introduced":"9.0.0"},{"fixed":"9.0.72"},{"introduced":"10.1.0"},{"fixed":"10.1.6"}]}]

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の修正パッケージ

Debian DEBIAN-CVE-2023-28708 tomcat10 修正版: 10.1.6-1
Ubuntu UBUNTU-CVE-2023-28708 tomcat6

概要

原文の説明

影響パッケージ

ディストリビューション別の修正状況

参照URL