「Apache Tomcat」に脆弱性 - 前回修正の不備が判明

「Apache Tomcat」にあらたな脆弱性が明らかとなり、開発チームが対策を呼びかけている。最新版へ更新するとともに環境に応じて設定状況を確認する必要がある。

開発チームでは、あらたに「CVE-2024-56337」が判明したとしてアドバイザリをリリースし、必要に応じて追加対策を講じるよう注意を呼びかけたもの。重要度は、上から2番目にあたる「重要（Important）」とレーティングしている。

開発チームでは、現地時間12月9日に「Apache Tomcat 11.0.2」「同10.1.34」「同9.0.98」をリリース。リモートからのコード実行につながる脆弱性「CVE-2024-50379」への対策を講じたばかりだが、同脆弱性に対する対策が不十分だったことが判明したという。

脆弱性の影響を完全に緩和するには、これら最新版へのアップデートにくわえて、「Java 17」「Java 11」「Java 8」を利用している場合、一部プロパティの構成を確認し、無効化する必要があるとしている。「Java 21」以降については対策不要とした。

問題とされる「CVE-2024-50379」は、競合状態により、アップロードされたファイルが「JSPファイル」として扱われるおそれがある脆弱性。大文字と小文字を区別しないファイルシステムを利用している場合に影響を受ける。

開発チームは「CVE-2024-50379」の重要度を「重要（Important）」とする一方、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」、重要度を「クリティカル（Critical）」とし、注意を呼びかけていた。

（Security NEXT - 2024/12/23 ）ツイート

「Apache Tomcat」に脆弱性 - 前回修正の不備が判明

関連リンク

PR

関連記事