「Apache Tomcat」に複数脆弱性 - 10月のアップデートで修正済み

「Apache Tomcat」の開発チームは、9月から10月にかけてリリースしたアップデートで複数の脆弱性を解消したことを明らかにした。

現地時間2025年10月27日に3件の脆弱性「CVE-2025-55752」「CVE-2025-55754」「CVE-2025-61795」について公表したもの。開発チームでは、重要度を「CVE-2025-55752」については上から2番目にあたる「高（High）」とし、のこる2件については「低（Low）」とした。

「CVE-2025-55752」は、URL書き換え処理において、デコード前に正規化されることに起因するパストラバーサルの脆弱性。バグの修正過程で過去の問題が再発した。セキュリティ保護を回避して、アクセスが可能となり、リモートよりコードを実行されるおそれがある。

マルチパートアップロードの処理中にエラーが発生した場合、生成された一時ファイルを即座に削除せず、データ保存領域を圧迫し、サービス拒否（DoS）につながるおそれがある「CVE-2025-61795」が確認された。

一方「CVE-2025-55754」は、ログ出力時にエスケープシーケンスを適切に処理しない脆弱性。Windowsコンソール上で稼働している場合、コンソールの操作やクリップボードの改ざんにつながるおそれがある。

開発チームでは、9月に公開した「同11.0.11」「同10.1.45」「同9.0.109」にて「CVE-2025-55752」「CVE-2025-55754」を修正。さらに10月にリリースした「同11.0.12」「同10.1.47」「同9.0.110」にて「CVE-2025-61795」へ対応した。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」において、「CVE-2025-55752」のベーススコアを「7.5」、「CVE-2025-61795」を「5.3」とし、重要度についてはそれぞれ「高（High）」「中（Medium）」としている。

（Security NEXT - 2025/10/28 ） ツイート

PR

関連記事

MS、「Windows Server」向けに定例外パッチ - 米当局が悪用確認
Dellストレージ管理製品に認証回避の脆弱性 - アップデートで修正
前月の更新で「Bamboo」「Jira」など脆弱性14件を修正 - Atlassian
シークレット管理ツール「HashiCorp Vault」に複数の脆弱性
アイ・オー製NAS管理アプリに権限昇格の脆弱性
コンテナ保護基盤「NeuVector」に複数脆弱性 - 「クリティカル」も
GitLab、アップデートを公開 - 脆弱性7件を解消
「BIND 9」にキャッシュポイズニングなど複数脆弱性
端末管理製品「LANSCOPE」の脆弱性狙う攻撃に注意喚起 - 米当局
ZohoのAD管理支援ツールに脆弱性 - アップデートで修正