Apache TomcatにCVSS 9.8の深刻な脆弱性 リモートコード実行を可能にするリスク：セキュリティニュースアラート

Apache TomcatにCVSS v3.1のスコア値9.8、深刻度「緊急」（Critical）の脆弱性が見つかった。影響を受けるバージョンの利用者は、速やかに修正版へのアップデートを推奨されている。

[後藤大地，有限会社オングス]

　Apache Software Foundationは2024年12月18日（現地時間）、OSS（オープンソースソフトウェア）のサーブレットコンテナおよびWebサーバである「Apache Tomcat」に複数の脆弱（ぜいじゃく）性が存在することを発表した。

　これらの脆弱性のうち一つは共通脆弱性評価システム（CVSS）v3.1のスコア値9.8、深刻度「緊急」（Critical）に分類されている。

Apache Tomcatにリモートコード実行の脆弱性　急ぎ対処を

　指摘されている脆弱性は以下の通りだ。

• CVE-2024-54677：　サービス運用妨害の脆弱性。標準で提供されるサンプルWebアプリケーションにサービス運用妨害につながる制御不能なリソース消費の欠陥がある。CVSS v3.1のスコア値5.3、深刻度「警告」（Medium）に分類されている
• CVE-2024-50379：　リモートコード実行の脆弱性。Apache TomcatでのJSPコンパイル中に発生するTOCTOU競合状態の欠陥とされている。サーブレットに書き込みアクセスが許可されており、ファイルシステムが大文字と小文字を区別しない環境において悪用される可能性がある。この脆弱性はCVSS v3.1のスコア値9.8、深刻度「緊急」（Critical）に分類されている

　脆弱性の影響を受けるApache Tomcatのバージョンは以下の通りだ。

• Apache Tomcat 11.0.0-M1から11.0.1までのバージョン
• Apache Tomcat 10.1.0-M1から10.1.33までのバージョン
• Apache Tomcat 9.0.0.M1から9.0.97までのバージョン

　脆弱性が修正されたApache Tomcatのバージョンは以下の通りだ。

• Apache Tomcat 11.0.2およびこれ以降のバージョン
• Apache Tomcat 10.1.34およびこれ以降のバージョン
• Apache Tomcat 9.0.98およびこれ以降のバージョン

　脆弱性を抱えるソリューションの継続的な利用はセキュリティ上の重大なリスクとなる。Apache Tomcatを使用している場合、速やかにアップデートを適用することが求められる。