「Apache Tomcat」に競合状態からコード実行が可能となる脆弱性

ウェブアプリケーションサーバ「Apache Tomcat」に複数の脆弱性が明らかとなった。アップデートで修正されている。

特定条件下においてリモートよりコードの実行が可能となる脆弱性「CVE-2024-50379」が判明したもの。開発チームでは、重要度を上から2番目にあたる「重要（Important）」とレーティングした。

負荷がかかった状態で同一ファイルに対する読み取りやアップロードの競合が生じた場合、チェック機能を回避され、アップロードされたファイルが「JSPファイル」として扱われるおそれがある。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」と評価、重要度を「クリティカル（Critical）」としている。

また例示用のサンプルアプリケーションにおけるサービス拒否の脆弱性「CVE-2024-54677」も同日報告された。開発チームでは重要度を「低（Low）」とする一方、米CISAはCVSS基本値を「5.3」、重要度を「中（Medium）」としている。

これら脆弱性は、現地時間12月9日にリリースされた「Apache Tomcat 11.0.2」「同10.1.34」「同9.0.98」で修正されており、同バージョン以降へアップデートするよう呼びかけられている。

（Security NEXT - 2024/12/18 ）ツイート