濃縮還元オレンジニュース Tomcatのディレクトリトラバーサル問題の調査ドキュメント「Apache-Tomcatと冗長なUTF-8表現」 Tomcat 6.0.16/5.5.26/4.1.37以下のバージョンにて発生するディレクトリトラバーサルの脆弱性について検証を行ったPDFドキュメントです。 この問題はserver.xmlまたはcontext.xmlに「URIEncoding=”UTF-8”」「allowLinking=”true”」という設定をしていた場合に起こります。Tomcat 4系以外は問題を修正した最新バージョンが公開されていますので、なるべく早めにバージョンアップを行ったほうがよいでしょう。 このドキュメントではまず「冗長なUTF-8表現」について説明しています。冗長なUTF-8表現とは、本来1バイトや2バイトで表現できる文字を2バイト、3バイトで表すこと
![Tomcatのディレクトリトラバーサル問題の調査ドキュメント「Apache-Tomcatと冗長なUTF-8表現」 | gihyo.jp](https://cdn-ak-scissors.b.st-hatena.com/image/square/05764efc54855f2bc94b989cbba010b33d6324f9/height=288;version=1;width=512/https%3A%2F%2Fgihyo.jp%2Fassets%2Fimages%2FICON%2F2007%2F003_orange.png)