「Apache Tomcat」に複数脆弱性 - 10月のアップデートで修正済み

「Apache Tomcat」の開発チームは、9月から10月にかけてリリースしたアップデートで複数の脆弱性を解消したことを明らかにした。

現地時間2025年10月27日に3件の脆弱性「CVE-2025-55752」「CVE-2025-55754」「CVE-2025-61795」について公表したもの。開発チームでは、重要度を「CVE-2025-55752」については上から2番目にあたる「高（High）」とし、のこる2件については「低（Low）」とした。

「CVE-2025-55752」は、URL書き換え処理において、デコード前に正規化されることに起因するパストラバーサルの脆弱性。バグの修正過程で過去の問題が再発した。セキュリティ保護を回避して、アクセスが可能となり、リモートよりコードを実行されるおそれがある。

マルチパートアップロードの処理中にエラーが発生した場合、生成された一時ファイルを即座に削除せず、データ保存領域を圧迫し、サービス拒否（DoS）につながるおそれがある「CVE-2025-61795」が確認された。

一方「CVE-2025-55754」は、ログ出力時にエスケープシーケンスを適切に処理しない脆弱性。Windowsコンソール上で稼働している場合、コンソールの操作やクリップボードの改ざんにつながるおそれがある。

開発チームでは、9月に公開した「同11.0.11」「同10.1.45」「同9.0.109」にて「CVE-2025-55752」「CVE-2025-55754」を修正。さらに10月にリリースした「同11.0.12」「同10.1.47」「同9.0.110」にて「CVE-2025-61795」へ対応した。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」において、「CVE-2025-55752」のベーススコアを「7.5」、「CVE-2025-61795」を「5.3」とし、重要度についてはそれぞれ「高（High）」「中（Medium）」としている。

（Security NEXT - 2025/10/28 ） ツイート

PR

関連記事

「React」脆弱性、実証コード公開 - 悪用リスクが上昇
「GitLab」に複数の脆弱性 - アップデートで修正
「Chrome 143」を公開 - 重要度「高」4件含む脆弱性13件に対応
「Next.js」にセキュリティアップデート - 「React」脆弱性が影響
「Apache HTTPD」にアップデート - 脆弱性5件を解消
JSライブラリ「React」に深刻なRCE脆弱性 - 早急に対応を
ウェブアプリフレームワーク「Django」に複数脆弱性 - アップデートが公開
米セキュリティ機関、「ScadaBR」既知脆弱性の悪用に警告
「Array AG」にCVE未採番の脆弱性 - 8月に国内で悪用被害
「Android Framework」のゼロデイ脆弱性に注意喚起 - 米当局