Apache Tomcat の脆弱性（CVE-2025-24813）

何が起きた

ウェブサーバーのソフト Apache Tomcat で、ファイルの一部だけを書き込む機能（partial PUT）が、ファイル名の扱いに不備を持っていました。条件がそろうと、攻撃者が秘密のファイルを見たり、ファイルに中身を書き足したり、任意のコードを実行したりできるおそれがあります。この弱点は実際の攻撃に使われたことが確認されています。ネットワーク経由で、ログイン不要の攻撃者が悪用できるとされています。CISA は、この弱点が CVE-2026-34486 と組み合わせて悪用されうるとしています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Apache Tomcat の 11.0.0-M1 から 11.0.2、10.1.0-M1 から 10.1.34、9.0.0.M1 から 9.0.98 を使っている組織です。サポートが終わっている 8.5.0 から 8.5.100 も影響を受けるとされています。ただし、初期設定では無効になっている「default servlet への書き込み」を有効にしていることなど、いくつかの条件がそろったときに悪用されます。

何をすればいい

Apache Tomcat を 11.0.3 以降、10.1.35 以降、または 9.0.99 以降に更新されているか確認してください。8.5 系列はサポートが終わっているため、サポートが続いている系列へ移してください。組み合わせて悪用されうる CVE-2026-34486 は 11.0.20、10.1.53、9.0.116 に影響し、修正版は 11.0.21、10.1.54、9.0.117 とされているので、あわせて Apache Tomcat の公式の案内を確認してください。

やることチェックリスト

• 11.0.3 以降か 10.1.35 以降に更新する
• 9 系列は 9.0.99 以降に更新する
• 8.5 系列はサポート中の系列へ移す

用語メモ

default servlet

Tomcat で、ふつうのファイルを読み出したり書き込んだりする役目を持つ、標準で入っている部品です。

partial PUT

大きなファイルを、いくつかに分けてサーバーに書き込むための方法です。

任意のコード 用語集で見る

攻撃者が好きに選んだプログラムの命令のことです。