FAMLog

2023年5月に公開されたApache Tomcat 8.5.89、Apache Tomcat 9.0.75およびApache Tomcat 10.1.9ではセキュリティ脆弱性が修正されています。

レスポンスにHTTPヘッダーが設定されていない場合にレスポンスヘッダーに関する情報が漏洩する可能性がある脆弱性（CVE-2023-34981）が修正されたApache Tomcat 8.5.89、Apache Tomcat 9.0.75およびApache Tomcat 10.1.9が公開されたのは2023年5月ですが、CVE-2023-34981に関する情報は2023年6月下旬に公開された次第です。

なお、現時点でのApache Tomcatの最新安定バージョンはバージョン10.1.10ですが、Claris FileMaker Server 2023（FileMaker Server 20.1.2）ではJava Web公開エンジンにApache Tomcat 9.0.69が使用されています。

［関連］JVNVU#92908681: Apache Tomcatにおける情報漏えいの脆弱性（Japan Vulnerability Notes）、Apache Tomcat 8.5.88、9.0.74および10.1.8ではセキュリティ脆弱性が修正済み（FAMLog）

（2023/08/28追記：「JJVNVU#92908681」を「JVNVU#92908681」に修正しました。）

2023年4月に公開されたApache Tomcat 8.5.88、Apache Tomcat 9.0.74およびApache Tomcat 10.1.8ではセキュリティ脆弱性が修正されています。

Apache Commons FileUploadにおけるサービス運用妨害（DoS）の脆弱性が修正されたApache Tomcat 8.5.88、Apache Tomcat 9.0.74およびApache Tomcat 10.1.8が公開されたのは2023年4月ですが、新たに採番されたCVE-2023-28709に関する情報は2023年5月下旬に公開された次第です。

なお、現時点でのApache Tomcatの最新安定バージョンはバージョン10.1.9ですが、Claris FileMaker Server 2023（FileMaker Server 20.1.1）ではJava Web公開エンジンにApache Tomcat 9.0.69が使用されています。

［関連］JVNVU#91253151: Apache TomcatのApache Commons FileUploadにおけるサービス運用妨害（DoS）の脆弱性（Japan Vulnerability Notes）

macOS Monterey 12.6.5およびmacOS Big Sur 11.7.6の提供が開始されています。

macOS Monterey 12.6.5およびmacOS Big Sur 11.7.6では、すでに悪用された可能性のある脆弱性（CVE-2023-28206）が修正されています。そのため、macOS Montereyを使用している場合にはmacOS Monterey 12.6.5に、macOS Big Surを使用している場合にはmacOS Big Sur 11.7.6にアップデートすることが推奨されます。

なお、Claris FileMaker ProおよびClaris FileMaker Serverはバージョン19.4.1以降で正式にmacOS Montereyに対応するようになっています。FileMaker Serverは、バージョン19.1.2以降であればmacOS Big Surと互換性があり、バージョン19.3.1以降でユニバーサルバイナリとしてAppleシリコン搭載Macに対応しています。

［関連］macOS Ventura 13.3.1の提供が開始（FAMLog）

Safari 16.4.1の提供が2023年4月上旬に開始されています。

WebKitの脆弱性（CVE-2023-28205）が修正されたSafari 16.4.1はmacOS Big SurおよびmacOS Montereyで利用できます。すでに悪用された可能性のある脆弱性が修正されていることから、macOS Big SurもしくはmacOS Montereyを使用している場合にはSafari 16.4.1にアップデートすることが推奨されます。

なお、macOS Venturaでは、当該脆弱性（CVE-2023-28205）はmacOS Ventura 13.3.1で修正されています。

［関連］macOS Ventura 13.3.1の提供が開始（FAMLog）

Ruby 3.2.2、Ruby 3.1.4、Ruby 3.0.6およびRuby 2.7.8が公開されています。

Ruby 3.2.2、Ruby 3.1.4、Ruby 3.0.6およびRuby 2.7.8では2点のセキュリティ脆弱性（CVE-2023-28755、CVE-2023-28756）が修正されています。

なお、今回公開されたRuby 2.7.8をもってRuby 2.7系列の公式サポートが終了しています。バージョン2.7のサポート終了に伴い、今後Ruby 2.7系列に対するセキュリティパッチは提供されなくなるため、より新しいバージョンのRubyに移行することが強く推奨されます。

（2023/04/05追記：タイトルを「Ruby 3.2.2、3.1.4、Ruby 3.0.6およびRuby 2.7.8が公開」から「Ruby 3.2.2、Ruby 3.1.4、Ruby 3.0.6およびRuby 2.7.8が公開」に変更しました。）

2023年2月に公開されたApache Tomcat 8.5.86、Apache Tomcat 9.0.72およびApache Tomcat 10.1.6ではセキュリティ脆弱性が修正されています。

Apache Tomcat 8.5.86、Apache Tomcat 9.0.72およびApache Tomcat 10.1.6では、httpsが設定されたX-Forwarded-Protoヘッダーを含むリクエストをHTTP経由でリバースプロキシから受信し、RemoteIpFilterを使用している場合において、Apache Tomcatが作成するセッションCookieにSecure属性が含まれない問題（CVE-2023-28708）が修正されています。

なお、Apache Tomcat 10.0系列は2022年10月にサポートが終了しており、現在Apache Tomcat 10.0系列を利用している場合にはApache Tomcat 10.1系列へのアップグレードが推奨されています。

［関連］JVNVU#90635957: Apache Tomcatにおける保護されていない認証情報の送信の脆弱性（Japan Vulnerability Notes）

Apache HTTP Server 2.4.56が公開されています。

Apache HTTP ServerはオープンソースのWebサーバーソフトウェアです。2点のセキュリティ脆弱性に対応したApache HTTP Server 2.4.56では、mod_proxy_uwsgiにおけるHTTPレスポンス分割の問題（CVE-2023-27522）と、mod_rewriteとmod_proxyにおけるHTTPリクエスト分割の問題（CVE-2023-25690）が修正されています。

なお、macOSおよびUbuntu 18.04向けのClaris FileMaker ServerではWebサーバーにApache HTTP Serverが内部的に使用されていますが、Ubuntu 20.04ではWebサーバーとしてApache HTTP Serverの代わりにnginxが使用されるようになっています。

［関連］JVNVU#94155938: Apache HTTP Server 2.4における複数の脆弱性に対するアップデート（Japan Vulnerability Notes）

セキュリティ脆弱性の修正を含んだSafari 16.3の更新版が2023年2月中旬に公開されています。

WebKitの脆弱性（CVE-2023-23529）が修正されたSafari 16.3の更新版はmacOS Big SurおよびmacOS Montereyで利用でき、同時に公開されたmacOS Ventura 13.2.1にもSafari 16.3の更新版が含まれています。

なお、Safari 16.3は2023年1月に公開されていましたが、今回公開されたSafari 16.3の更新版では、ビルド番号がmacOS Big SurのSafari 16.3では16614.4.6.11.6に、macOS MontereyのSafari 16.3では17614.4.6.11.6に変更されています。

［関連］Safari 16.3の提供が開始（FAMLog）、macOS Ventura 13.2.1の提供が開始（FAMLog）

Ruby 3.1.3、Ruby 3.0.5およびRuby 2.7.7が公開されています。

Ruby 3.1.3、Ruby 3.0.5およびRuby 2.7.7ではcgi gemのセキュリティ脆弱性（CVE-2021-33621）が修正されています。

なお、Ruby 2.7系列は、現在セキュリティメンテナンスフェーズにあり、原則として重大なセキュリティ上の問題が発見された場合のみリリースが行われる状態であり、より新しいバージョンへ移行することが推奨されている状況です。

2022年10月に公開されたApache Tomcat 8.5.83、Apache Tomcat 9.0.68、Apache Tomcat 10.0.27およびApache Tomcat 10.1.1ではセキュリティ脆弱性が修正されています。

Apache Tomcat 8.5.83、Apache Tomcat 9.0.68、Apache Tomcat 10.0.27およびApache Tomcat 10.1.1では、Apache TomcatにおいてrejectIllegalHeaderをfalse（8.5系だけは初期設定）にして無効なHTTPヘッダーを無視する設定としている場合に無効なContent-Lengthヘッダーを含むリクエストであっても拒否しない問題（CVE-2022-42252）が修正されています。

なお、現時点でのApache Tomcatの最新安定バージョンはバージョン10.1.1ですが、Claris FileMaker Server 19.5.4ではJava Web公開エンジンにApache Tomcat 9.0.45が使用されています。

［関連］JVNVU#93003913: Apache Tomcatにおける無効なHTTPヘッダの取り扱いに関する問題（Japan Vulnerability Notes）