「Apache Tomcat」に複数脆弱性 - 10月のアップデートで修正済み

「Apache Tomcat」の開発チームは、9月から10月にかけてリリースしたアップデートで複数の脆弱性を解消したことを明らかにした。

現地時間2025年10月27日に3件の脆弱性「CVE-2025-55752」「CVE-2025-55754」「CVE-2025-61795」について公表したもの。開発チームでは、重要度を「CVE-2025-55752」については上から2番目にあたる「高（High）」とし、のこる2件については「低（Low）」とした。

「CVE-2025-55752」は、URL書き換え処理において、デコード前に正規化されることに起因するパストラバーサルの脆弱性。バグの修正過程で過去の問題が再発した。セキュリティ保護を回避して、アクセスが可能となり、リモートよりコードを実行されるおそれがある。

マルチパートアップロードの処理中にエラーが発生した場合、生成された一時ファイルを即座に削除せず、データ保存領域を圧迫し、サービス拒否（DoS）につながるおそれがある「CVE-2025-61795」が確認された。

一方「CVE-2025-55754」は、ログ出力時にエスケープシーケンスを適切に処理しない脆弱性。Windowsコンソール上で稼働している場合、コンソールの操作やクリップボードの改ざんにつながるおそれがある。

開発チームでは、9月に公開した「同11.0.11」「同10.1.45」「同9.0.109」にて「CVE-2025-55752」「CVE-2025-55754」を修正。さらに10月にリリースした「同11.0.12」「同10.1.47」「同9.0.110」にて「CVE-2025-61795」へ対応した。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」において、「CVE-2025-55752」のベーススコアを「7.5」、「CVE-2025-61795」を「5.3」とし、重要度についてはそれぞれ「高（High）」「中（Medium）」としている。

（Security NEXT - 2025/10/28 ） ツイート

PR

関連記事

Ciscoの「ASA」「FTD」にDoS脆弱性 - すでに悪用も
ブラウザ最新版「Firefox 159」が公開 - 脆弱性167件を修正
「Adobe Campaign Classic」など4製品に脆弱性 - 「クリティカル」脆弱性も
Kubernetes向けツール「consul-k8s」に脆弱性 - 修正版が公開
「macOS」にセキュリティ更新 - 300件弱の脆弱性に対応
49システムで情報流出、横展開など確認 - ユミルリンク
「Chrome」で脆弱性52件を修正 - 4件が「クリティカル」
「Brotli」や「Adobe Commerce」「Magento」の脆弱性悪用を確認 - 米当局が注意喚起
「PHP2Shell」「HTTP2Shell」のいずれも影響 - 「PAN-OS」の修正版が順次公開
「PowerShell」に「Brotli」脆弱性を解消するアップデート