2

お世話になります。

Tomcat 8.5.3で導入された下記リクエストパラメーターの検査が厳格になりエスケープされていない"[" "{"があると400エラーとなる件の回避策として、catalina.propertiesファイルに回避させる等の対応でプログラムを修正することなく400エラーを出さなくする方法はありますでしょうか?

=== Tomcat Release Note ===
Ensure that requests with HTTP method names that are not tokens (as required by RFC 7231) are rejected with a 400 response. (markt)

=== 同等の質問(こちらにはプログラム側をエスケープして対応するよう記載があります)
https://stackoverflow.com/questions/41053653/tomcat-8-is-not-able-to-handle-get-request-with-in-query-parameters/41150474

=== 別件となるのですが、以前のtomcatバージョンでは以下方法で回避できるとの記載があります。
http://d.hatena.ne.jp/guangda/20091215/1260836855

以上、よろしくお願いいたします。

2 件の回答 2

1

Tomcatレポジトリより
https://github.com/apache/tomcat80/commit/779d5d34e68e50d2f721897050b147106992f566

markt-asf on 30 Nov 2016 Contributor

It is only a breaking change for clients that are sending non-specification compliant requests. Clients that aren't percent encoding | need to be fixed so that they do.

残念ながら、クライアント側で直せということのようです、、

1

CVE-2016-6816の脆弱性を受けるようになるけど
以下のシステムプロパティでは、どうでしょうか?

http://tomcat.apache.org/tomcat-8.5-doc/config/systemprops.html
tomcat.util.http.parser.HttpParser.requestTargetAllow

この質問に回答するには、ログインする必要があります。

求めていた回答ではありませんか? のタグが付いた他の質問を参照する。