「Apache Tomcat」に複数脆弱性 - 10月のアップデートで修正済み

「Apache Tomcat」の開発チームは、9月から10月にかけてリリースしたアップデートで複数の脆弱性を解消したことを明らかにした。

現地時間2025年10月27日に3件の脆弱性「CVE-2025-55752」「CVE-2025-55754」「CVE-2025-61795」について公表したもの。開発チームでは、重要度を「CVE-2025-55752」については上から2番目にあたる「高（High）」とし、のこる2件については「低（Low）」とした。

「CVE-2025-55752」は、URL書き換え処理において、デコード前に正規化されることに起因するパストラバーサルの脆弱性。バグの修正過程で過去の問題が再発した。セキュリティ保護を回避して、アクセスが可能となり、リモートよりコードを実行されるおそれがある。

マルチパートアップロードの処理中にエラーが発生した場合、生成された一時ファイルを即座に削除せず、データ保存領域を圧迫し、サービス拒否（DoS）につながるおそれがある「CVE-2025-61795」が確認された。

一方「CVE-2025-55754」は、ログ出力時にエスケープシーケンスを適切に処理しない脆弱性。Windowsコンソール上で稼働している場合、コンソールの操作やクリップボードの改ざんにつながるおそれがある。

開発チームでは、9月に公開した「同11.0.11」「同10.1.45」「同9.0.109」にて「CVE-2025-55752」「CVE-2025-55754」を修正。さらに10月にリリースした「同11.0.12」「同10.1.47」「同9.0.110」にて「CVE-2025-61795」へ対応した。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」において、「CVE-2025-55752」のベーススコアを「7.5」、「CVE-2025-61795」を「5.3」とし、重要度についてはそれぞれ「高（High）」「中（Medium）」としている。

（Security NEXT - 2025/10/28 ） ツイート

PR

関連記事

「Langflow」にRCE脆弱性 - フロー共有環境に影響
「Joomla」向け編集ツール「JCE」、脆弱性悪用に注意
「MariaDB」に複数脆弱性 - アップデートで修正
「Firefox」にアップデート - 脆弱性40件を修正
脆弱性の悪用カタログに2件をあらたに追加 - 米当局
「Cisco Catalyst SD-WAN Manager」に脆弱性 - 侵害有無の確認を
「LiteSpeed cPanel Plugin」に権限昇格の脆弱性 - すでに悪用も
「Node.js」に重要度「高」の脆弱性 - 更新を予告
「SimpleHelp」に認証回避の脆弱性 - 管理操作が可能に
「Apache CXF」に複数の脆弱性 - 修正版が公開