開発効率の高いドメイン駆動型Javaフレームワーク Apache Causeway に、認証済みユーザーが任意コード実行（RCE）に到達し得るクリティカルな脆弱性（CVE-2025-64408） が見つかりました。脆弱性は 2.0.0〜3.4.0 のすべての系統と、最新系の 4.0.0-M1 に影響し、3.5.0 で修正されています。
影響を受けるバージョン
- 2.0.0 → 3.4.0
- 4.0.0-M1（2025年10月13日公開のマイルストーン版）
-
修正バージョン
-
3.5.0（本脆弱性を完全修正）
脆弱性の概要
Apache Causewayに、認証済みユーザーがViewModelの状態をURL等に埋め込んだシリアライズ済みデータを悪用し、アプリ側でのJavaデシリアライズ処理を介して任意コード実行（RCE）に至るクリティカルな脆弱性（CVE-2025-64408）が存在します。対象は2.0.0〜3.4.0および4.0.0-M1で、ユーザー制御のシリアライズデータが復元される過程で“ガジェットチェーン”が作動し、アプリケーション権限でコード実行・データ窃取・横展開が可能となります
（前提は認証後）。本件は3.5.0で修正されています。
関連記事
Apache Tomcatに深刻な脆弱性、DoS攻撃やセキュリティルール回避のリスク- 迅速なアップデートを推奨(CVE-2025-31650)
Apache Tomcatでリモートコード実行や情報 漏洩のリスクがある脆弱性（CVE-2025-24813）
Apache Parquet Javaの脆弱性(CVE-2025-30065)の検証・検出ツールをF5 Labsが公開
Apache Tomcatの脆弱性 CVE-2025-24813の悪用を確認、対象者は早急にアップデートを
Apache Tomcat と Camel が狙わる－複数の危険な脆弱性(CVE‑2025‑24813, CVE‑2025‑27636, CVE‑2025‑29891)
Apache Igniteでリモートコードが実行できる脆弱性(CVE-2024-52577)
CISAがApache Tomcatの脆弱性 CVE-2025-24813をKEVに登録、対象者はアップデートが必須
Apache TomcatでCGIセキュリティ制約バイパスの脆弱性(CVE-2025-46701)
Apache Tomcatがリモートコード実行の脆弱性およびDoS脆弱性を修正（CVE-2024-50379 、CVE-2024-54677）
