お客様各位

平素はお引き立てを賜り、ありがとうございます。

Apache Foundation より当社のプラグインに含まれます Tomcat について、
セキュリティ警告のアナウンスが発表されましたので、お知らせします。

対象 Solr プラグインリリース：

• rel-1.x （Tomcat 7）

rel-0.x シリーズは Tomcat 6 であり、本件の対象ではありません。
Tomcat 7.0.50 までの Tomcat 7 に同梱される Commons FileUpload 1.0 から
1.3 が原因となる問題です。

Apache Tomcat 7 および Apache Tomcat 8 はサーブレット 3.0 以降の仕様である
mime-multipart リクエストをサポートするため、Apache Commons FileUpload を
名称変更の上同梱しています。そのため、Tomcat 7 and 8 は本件の影響を受けます。
Tomcat 6 も Commons FileUpload を管理アプリケーションの一部で使っていますが、
その機能へのアクセスは認証された管理者に限定されます。

○ CVE-2014-0050 Apache Commons FileUpload and Apache Tomcat DoS
重要度：重要

マルチパートリクエストに対して不正なContent-Typeヘッダーを作り、
Apache Commons FileUpload が無限ループに陥るようにできてしまいます。
そのため、悪意のあるユーザがサービス拒否を引き起こす不正なリクエストを
作ることができます。
本件は、JPCERT 経由で Apache Software Foundation に責任を持ってレポート
されましたが、e-mail アドレス誤りにより早く公開されてしまいました[1]。

回避策：
下記の回避策をお取りください：
– リリースされ次第、Apache Commons FileUpload 1.3.1 以降にアップグレードする
– リリースされ次第、Apache Tomcat 8.0.2 以降にアップグレードする
– リリースされ次第、Apache Tomcat 7.0.51 以降にアップグレードする
– 適切なパッチを適用する
– Commons FileUpload: http://svn.apache.org/r1565143
– Tomcat 8: http://svn.apache.org/r1565163
– Tomcat 7: http://svn.apache.org/r1565169
– Content-Type ヘッダーのサイズを 4091 バイト以下に制限する

クレジット：
本問題は JPCERT 経由で Apache Software Foundation にレポートされました。

参考情報：
[1] http://markmail.org/message/kpfl7ax4el2owb3o
[2] http://tomcat.apache.org/security-8.html
[3] http://tomcat.apache.org/security-7.html

当社の今後の対応について：
次回リリース時に Tomcat 7.0.51 を同梱いたします。
それまではお客様におかれましては、本問題についてご判断いただき、
必要であればTomcatの適切なバージョンに置き換えていただく等の対応を
お願いいたします。

以上、今後ともよろしくお願い申し上げます。