「Apache Tomcat」に複数脆弱性 - 10月のアップデートで修正済み

「Apache Tomcat」の開発チームは、9月から10月にかけてリリースしたアップデートで複数の脆弱性を解消したことを明らかにした。

現地時間2025年10月27日に3件の脆弱性「CVE-2025-55752」「CVE-2025-55754」「CVE-2025-61795」について公表したもの。開発チームでは、重要度を「CVE-2025-55752」については上から2番目にあたる「高（High）」とし、のこる2件については「低（Low）」とした。

「CVE-2025-55752」は、URL書き換え処理において、デコード前に正規化されることに起因するパストラバーサルの脆弱性。バグの修正過程で過去の問題が再発した。セキュリティ保護を回避して、アクセスが可能となり、リモートよりコードを実行されるおそれがある。

マルチパートアップロードの処理中にエラーが発生した場合、生成された一時ファイルを即座に削除せず、データ保存領域を圧迫し、サービス拒否（DoS）につながるおそれがある「CVE-2025-61795」が確認された。

一方「CVE-2025-55754」は、ログ出力時にエスケープシーケンスを適切に処理しない脆弱性。Windowsコンソール上で稼働している場合、コンソールの操作やクリップボードの改ざんにつながるおそれがある。

開発チームでは、9月に公開した「同11.0.11」「同10.1.45」「同9.0.109」にて「CVE-2025-55752」「CVE-2025-55754」を修正。さらに10月にリリースした「同11.0.12」「同10.1.47」「同9.0.110」にて「CVE-2025-61795」へ対応した。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」において、「CVE-2025-55752」のベーススコアを「7.5」、「CVE-2025-61795」を「5.3」とし、重要度についてはそれぞれ「高（High）」「中（Medium）」としている。

（Security NEXT - 2025/10/28 ） ツイート

PR

関連記事

相次ぐ脆弱性の悪用、ゼロデイ攻撃も - 悪用リスト登録が週明け以降7件
「NVIDIA runx」に脆弱性 - サポート終了により修正予定なし
「SolarWinds WHD」に複数の深刻な脆弱性 - アップデートで修正
「Ivanti EPMM」にゼロデイ脆弱性、悪用確認 - パッチ適用や侵害調査を
Windows環境の「Symfony」でシェル経由処理に問題 - 破壊的操作のおそれ
JavaScriptサンドボックスのnpmライブラリ「SandboxJS」に深刻な脆弱性
NVIDIAのGPUディスプレイドライバに複数脆弱性 - 修正版が公開
米当局、Fortinet製品のゼロデイ攻撃に対する侵害調査などを呼びかけ
「OpenSSL」に重要度「高」含む12件の脆弱性 - アップデートで修正
セキュリティアップデート「Firefox 147.0.2」が公開