Apache Tomcatの脆弱性 CVE-2025-24813の悪用を確認、対象者は早急にアップデートを

Apache Tomcatがリモートコード実行や機密情報 漏洩のリスクを起こす脆弱性（CVE-2025-24813）が発生しました。今回悪用が確認されているので対象者は早急にアップデートする事をお勧めします。

脆弱性の影響を受けるバージョン

• Apache Tomcat 11.0.0-M1 ～ 11.0.2
• Apache Tomcat 10.1.0-M1 ～ 10.1.34
• Apache Tomcat 9.0.0.M1 ～ 9.0.98

脆弱性の対策バージョンバージョン

• Apache Tomcat 11.0.3以降
• Apache Tomcat 10.1.35以降
• Apache Tomcat 9.0.99以降

脆弱性 CVE-2025-24813の概要

この脆弱性は、攻撃者がリモートで任意のコードを実行できる可能性を持つ、いわゆる「リモートコード実行（RCE）」のリスクを孕んでいます。

特に問題なのは、脆弱性の要因となっている「Partial PUT」という機能が、影響を受けるバージョンではデフォルトで有効になっている点です。これは、管理者が特別な設定を行っていなくても、すでにサーバーが攻撃の対象となり得る状況であることを意味しています。

セキュリティコンサルティング会社Wallarmよると、CVE-2025-24813 は、公開からわずか 30 時間で悪用されるようになり、PoCも公開されています。対象者は引き続き速やかに対策する事をお勧めします。

一時的な回避策

アップデートがすぐにできない場合、以下の回避策を実施してください。

• PUTメソッドの無効化
  Tomcatの設定ファイル（conf/web.xml）で、PUTリクエストを無効化 することで、不正なデータのアップロードを防ぎます。

• セッション永続化の無効化
  Tomcatの設定で セッションの永続化を無効化 することで、攻撃者が意図しないデータを保存するのを防ぎます。