1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. Java、Undertow HTTPサーバにおけるHostヘッダ検証不備の脆弱性(CVE-2025-12543)

Java、Undertow HTTPサーバにおけるHostヘッダ検証不備の脆弱性(CVE-2025-12543)

セキュリティニュース

投稿日時: 更新日時:

Java、Undertow HTTPサーバにおけるHostヘッダ検証不備の脆弱性(CVE-2025-12543)

2026年1月、Javaアプリケーション基盤で広く利用されているUndertow HTTPサーバに、深刻度の高い脆弱性（CVE-2025-12543）が存在することが公表されました。本脆弱性は、Red Hatが提供するWildFlyおよびJBoss Enterprise Application Platform（EAP）などに組み込まれているUndertowの中核コンポーネントに影響します。

Red Hatの評価ではCVSS v3.1スコアは9.6（Important）とされており、ネットワーク経由で認証不要の攻撃が可能である点から、企業システムにとって無視できないリスクと位置付けられています。

影響を受ける製品と修正状況

本脆弱性は、Undertowを利用する以下の主要製品に影響します。

  • Red Hat JBoss Enterprise Application Platform 8.1

  • WildFly（Undertowを内包するJavaアプリケーションサーバ）

Red Hatは2026年1月9日付で、JBoss EAP 8.1向けに修正済みのセキュリティアドバイザリ（RHSA-2026:0383、RHSA-2026:0386 など）を公開しています。対象製品を利用している環境では、修正済みビルドへの更新が唯一の有効な対策とされています。

脆弱性の概要と原因

CVE-2025-12543は、Undertow HTTPサーバがHTTPリクエストのHostヘッダを適切に検証していないことに起因します。本来、Hostヘッダはアクセス先のホスト名を示す重要な情報ですが、Undertowでは不正または細工された値を含むHostヘッダであっても、リクエストが拒否されずに処理されてしまいます。

この不備により、攻撃者はサーバに対して誤った宛先情報を信じ込ませることが可能となり、アプリケーションやキャッシュ、内部ネットワークの挙動に影響を与える恐れがあります。

想定される攻撃シナリオと影響

本脆弱性が悪用された場合、以下のような攻撃が成立する可能性があります。

  • キャッシュポイズニング
    不正なHostヘッダを用いてキャッシュを汚染し、正規ユーザーに対して改ざんされたコンテンツを配信させる可能性があります。

  • 内部ネットワーク探索（SSRF的挙動）
    サーバ自身を踏み台として、外部からは本来アクセスできない内部ネットワークや管理系サービスを探索される恐れがあります。

  • セッションハイジャック・認証情報の窃取
    Hostヘッダを悪用して生成されるURLやセッション情報を操作し、ユーザーのセッションを乗っ取られる可能性があります。

Red Hatの評価では「完全な影響には一定のユーザー操作が必要」とされていますが、認証不要でリモートから到達可能である点が重視され、機密性および完全性への影響は「高」と判定されています。

関連記事

全ての Wi-Fiクライアントへ影響する脆弱性が観測される（CVE-2023-52424 ）全ての Wi-Fi クライアントへ影響する脆弱性が観測される（CVE-2023-52424 ） Default ThumbnailVeeamのVeeam Backup Enterprise Managerで重大な認証バイパスのバグを警告（CVE-2024-29849） zlibに深刻な脆弱性(CVE-2026-22184)zlibに深刻な脆弱性(CVE-2026-22184) Splunk、未認証のブラインドSSRF脆弱性(CVE-2025-203716件)を含む6件の脆弱性を修正Splunk、未認証のブラインドSSRF脆弱性(CVE-2025-203716件)を含む6件の脆弱性を修正 Java ライブラリの脆弱性でパストラバーサル攻撃が可能に(CVE-2025-0851)Java ライブラリの脆弱性でパストラバーサル攻撃が可能に(CVE-2025-0851) ImageMagick、Linuxカーネル、SonicWallの既知脆弱性が攻撃の標的にImageMagick、Linuxカーネル、SonicWallの既知脆弱性が攻撃の標的に FortiWebの重大な脆弱性（CVE-2025-25257）がCISAのKEVカタログに追加：即時対応推奨FortiWebの重大な脆弱性（CVE-2025-25257）がCISAのKEVカタログに追加：即時対応推奨 米 マクドナルドのAI採用ボット「Olivia」の脆弱性で最大6400万件以上の個人情報漏洩の可能性米 マクドナルドのAI採用ボット「Olivia」の脆弱性で最大6400万件以上の個人情報漏洩の可能性 GitHub Enterprise Serverで重大な脆弱性(CVE-2024-6800)GitHub Enterprise Serverで重大な脆弱性(CVE-2024-6800)