Apache Tomcat のリモートコード実行の脆弱性（CVE-2016-8735）

何が起きた

Apache Tomcat で JmxRemoteLifecycleListener という機能を使っていて、攻撃者が JMX（Java の管理用の仕組み）の接続口に届く場合に、リモートコード実行（離れた場所から好きな命令を動かすこと）ができてしまう弱点が見つかりました。Oracle が Java の同じような問題（CVE-2016-3427）を直したのに、この機能がその修正に合わせて直されていなかったことが原因です。実際の悪用も確認されています。攻撃はネットワーク経由で、ログイン不要、利用者の操作も不要です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

JmxRemoteLifecycleListener を使っている Apache Tomcat が対象です。NVD によると、6.0.48 より前、7.x の 7.0.73 より前、8.x の 8.0.39 より前、8.5.x の 8.5.7 より前、9.x の 9.0.0.M12 より前が影響を受けます。Tomcat の案内では、8.5.7 と 9.0.0.M12 は公開されなかったため、実際の修正版は 8.5.8 と 9.0.0.M13 です。

何をすればいい

Tomcat を修正版（6.0.48、7.0.73、8.0.39、8.5.8、9.0.0.M13）以降に更新されているか確認してください。ただし Tomcat の案内によると、6.0.x、7.0.x、8.0.x、8.5.x はサポートが終わっていて、9.0.x 以降への更新が勧められています。あわせて Apache Tomcat の公式の案内を確認してください。

やることチェックリスト

• Tomcat を 9.0.x 以降に更新する
• JmxRemoteLifecycleListener の使用を確認する
• サポート終了の 6.0.x から 8.5.x を置き換える

用語メモ

JMX

Java で動くプログラムの状態を見たり設定を変えたりするための管理用の仕組みです。

JmxRemoteLifecycleListener

Tomcat で、JMX に離れた場所から接続できるようにするための機能です。

リモートコード実行

離れた場所から、攻撃者が選んだ命令やプログラムを相手の機器で動かすことです。