Apache Tomcat のリモートコード実行の脆弱性（CVE-2017-12615）

何が起きた

Windows で動かしている Apache Tomcat で、HTTP PUT（ファイルを送り込む命令）を有効にしていると、細工したリクエストで JSP ファイルをサーバーに置けてしまう弱点が見つかりました。置かれた JSP ファイルを呼び出すと、中に書かれたプログラムがサーバーで実行されます。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できるとされています。実際の悪用が確認されており、ランサムウェア攻撃での悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Windows で動かしていて、HTTP PUT を有効にしている（たとえば readonly という設定を false にしている）Apache Tomcat 7.0.0 から 7.0.79 が対象です。

何をすればいい

Tomcat の公式情報では、修正は 7.0.80 に入っていますが、修正を含む版を入手するには 7.0.81 以降をダウンロードする必要があります。7.0.81 以降に更新されているか確認してください。なお、Windows 以外でも起きる似た弱点 CVE-2017-12617 は 7.0.81 にも残っており、7.0.82 で修正されているため、7.0 系を使う場合は 7.0.82 以降にしてください。ただし Tomcat の公式情報では、7.0 系のサポートは 2021年3月31日に終わっているため、使い続けず、サポートが続いている系列へ移してください。あわせて Apache Tomcat の公式の案内を確認してください。

やることチェックリスト

• readonly 設定が false になっていないか確かめる
• Tomcat を 7.0.82 以降に更新する
• サポートが終わった 7.0 系から移行する

用語メモ

HTTP PUT

Web の通信で、サーバーにファイルなどを送り込んで置くための命令です。

JSP

Java で書かれた、サーバー上で動いて Web ページを作るためのファイルです。

ランサムウェア

データを暗号化するなどして使えなくし、元に戻すことと引き換えに金銭を要求する不正なプログラムです。