「Apache Tomcat」に複数脆弱性 - 4月上旬のアプデで修正済み

「Apache Tomcat」の開発チームは、4月上旬にリリースしたアップデートで2件の脆弱性へ対処していたことを明らかにした。開発チームと米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）で、重要度の評価に大きな差が見られる。

具体的には、「HTTP Priorityヘッダ」のエラー処理において不備があり、メモリリークが発生し、サービス拒否に陥るおそれがある「CVE-2025-31650」が明らかとなった。

さらに一部のリライトルール設定において、細工されたリクエストによってバイパスが可能となる「CVE-2025-31651」が判明している。

開発チームでは、「CVE-2025-31650」の重要度を4段階中、上から2番目にあたる「重要（Important）」、「CVE-2025-31651」を2段階低い「低（Low）」とした。

一方、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）や米国立標準技術研究所（NIST）の脆弱性データベース「NVD」では、共通脆弱性評価システム「CVSSv3.1」において「CVE-2025-31651」のベーススコアを「9.8」、「CVE-2025-31650」を「7.5」と評価。重要度をそれぞれ「クリティカル（Critical）」「高（High）」としている。

開発チームは、現地時間4月8日から9日にかけて公開した「Apache Tomcat 11.0.6」「同10.1.40」「同9.0.104」でこれら脆弱性を解消。4月28日に脆弱性について公表している。

（Security NEXT - 2025/05/09 ）ツイート

「Apache Tomcat」に複数脆弱性 - 4月上旬のアプデで修正済み

関連リンク

PR

関連記事