最近の脆弱性 › CVE-2025-24813

Apache Tomcat の安全でないデシリアライズの脆弱性（CVE-2025-24813）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2025-24813
製品	Apache Tomcat
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2025-04-01
米国政府機関の対応期限	2025-04-22
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-44, CWE-502

何が起きた

ウェブサーバーのソフト Apache Tomcat で、ファイルの一部だけを書き込む機能（partial PUT）が、ファイル名の扱いに不備を持っていました。条件がそろうと、攻撃者が秘密のファイルを見たり、ファイルに中身を書き足したり、任意のコードを実行したりできるおそれがあります。この弱点は実際の攻撃に使われたことが確認されています。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。CISA は、この弱点が CVE-2026-34486 と組み合わせて悪用されうるとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache Tomcat の 11.0.0-M1 から 11.0.2、10.1.0-M1 から 10.1.34、9.0.0.M1 から 9.0.98 を使っている組織です。サポートが終わっている 8.5.0 から 8.5.100 も影響を受けるとされています。ただし、初期設定では無効になっている「default servlet への書き込み」を有効にしていることなど、いくつかの条件がそろったときに悪用されます。

何をすればいい

Apache Tomcat を 11.0.3 以降、10.1.35 以降、または 9.0.99 以降に更新されているか確認してください。8.5 系列はサポートが終わっているため、サポートが続いている系列へ移してください。組み合わせて悪用されうる CVE-2026-34486 は 11.0.20、10.1.53、9.0.116 に影響し、修正版は 11.0.21、10.1.54、9.0.117 とされているので、あわせて Apache Tomcat の公式の案内を確認してください。

やることチェックリスト

11.0.3 以降か 10.1.35 以降に更新する
9 系列は 9.0.99 以降に更新する
8.5 系列はサポート中の系列へ移す

用語メモ

default servlet: Tomcat で、ふつうのファイルを読み出したり書き込んだりする役目を持つ、標準で入っている部品です。
partial PUT: 大きなファイルを、いくつかに分けてサーバーに書き込むための方法です。
任意のコード: 攻撃者が好きに選んだプログラムの命令のことです。

元データ（英語・CISA KEV より）

Apache Tomcat Path Equivalence Vulnerability

概要

Apache Tomcat contains a path equivalence vulnerability that allows a remote attacker to execute code, disclose information, or inject malicious content via a partial PUT request. This vulnerability can be chained with CVE‑2026‑34486.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.