Apache Tomcat のリモートコード実行の脆弱性（CVE-2017-12617）

何が起きた

Web サーバーソフトの Apache Tomcat で、HTTP PUT（ファイルを送り込む命令）を有効にしていると、細工したリクエストで JSP ファイルをサーバーに置けてしまう弱点が見つかりました。置かれた JSP ファイルを呼び出すと、中に書かれたプログラムがサーバーで実行されます。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できるとされています。実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

HTTP PUT を有効にしている（たとえば Default サーブレットの readonly という設定を false にしている）Apache Tomcat が対象です。影響を受けるのは 9.0.0.M1 から 9.0.0、8.5.0 から 8.5.22、8.0.0.RC1 から 8.0.46、7.0.0 から 7.0.81 です。

何をすればいい

Tomcat の公式情報では、修正版は 9.0.1、8.5.23、8.0.47、7.0.82 です。使っている系列の修正版以降に更新されているか確認してください。ただし Tomcat の公式情報では、7.0 系は 2021年3月31日に、8.0 系は 2018年6月30日に、8.5 系は 2024年3月31日にサポートが終わっているため、これらの系列は使い続けず、サポートが続いている系列へ移してください。あわせて Apache Tomcat の公式の案内を確認してください。

やることチェックリスト

• Default サーブレットの readonly 設定を確かめる
• 9.0.1 や 8.5.23 などの修正版以降に更新する
• サポートが終わった 7.0 系や 8.0 系を移行する

用語メモ

HTTP PUT

Web の通信で、サーバーにファイルなどを送り込んで置くための命令です。

JSP

Java で書かれた、サーバー上で動いて Web ページを作るためのファイルです。

サーブレット

Tomcat などの上で動き、Web からの要求を受けて処理する Java のプログラムです。