

お世話になります。

Tomcat 8.5.3で導入された下記リクエストパラメーターの検査が厳格になりエスケープされていない"["
"{"があると400エラーとなる件の回避策として、catalina.propertiesファイルに回避させる等の対応でプログラムを修正することなく400エラーを出さなくする方法はありますでしょうか？

=== Tomcat Release Note ===  
Ensure that requests with HTTP method names that are not tokens (as required
by RFC 7231) are rejected with a 400 response. (markt)

=== 同等の質問(こちらにはプログラム側をエスケープして対応するよう記載があります)  
<https://stackoverflow.com/questions/41053653/tomcat-8-is-not-able-to-handle-
get-request-with-in-query-parameters/41150474>

=== 別件となるのですが、以前のtomcatバージョンでは以下方法で回避できるとの記載があります。  
<http://d.hatena.ne.jp/guangda/20091215/1260836855>

以上、よろしくお願いいたします。


CC BY-SA 3.0
2017-04-20T02:02:18.167
34136
2017-06-12T21:28:26.037
2017-05-23T12:38:56.083
-1
22661
question
tomcat
【Tomcat 8.5.3】RFC7231対応の回避方法について


Tomcatレポジトリより  
<https://github.com/apache/tomcat80/commit/779d5d34e68e50d2f721897050b147106992f566>

> markt-asf on 30 Nov 2016 Contributor
>
> It is only a breaking change for clients that are sending non-specification
> compliant requests. Clients that aren't percent encoding | need to be fixed
> so that they do.

残念ながら、クライアント側で直せということのようです、、


CC BY-SA 3.0
2017-04-20T06:26:56.903
34150
2017-04-20T06:26:56.903
2020-06-17T08:14:45.997
-1
15705
34136
answer


CVE-2016-6816の脆弱性を受けるようになるけど  
以下のシステムプロパティでは、どうでしょうか？

<http://tomcat.apache.org/tomcat-8.5-doc/config/systemprops.html>  
tomcat.util.http.parser.HttpParser.requestTargetAllow


CC BY-SA 3.0
2017-04-25T22:00:52.287
34282
2017-04-25T22:00:52.287
4419
34136
answer