【活用ガイド】

JVNDB-2023-028317

Apache Tomcat partial PUT におけるリモートコード実行、情報漏えいや改ざんの脆弱性 (CVE-2025-24813)

概要

Apache Tomcat の partial PUT の元の実装では、ユーザーが指定したファイル名とパスを基にパス区切り文字を「.」に置き換えた一時ファイルが使用されています。このため、特定の条件下で、リモートコード実行、セキュリティ上重要なファイルの表示やコンテンツ挿入の可能性があります。（CVE-2025-24813、CWE-44、CWE-502）
CVSS による深刻度 (CVSS とは?)

影響を受けるシステム


Apache Software Foundation
  • Apache Tomcat 11.0.0-M1 から 11.0.2 まで
  • Apache Tomcat 10.1.0-M1 から 10.1.34 まで
  • Apache Tomcat 9.0.0.M1 から 9.0.98 まで

想定される影響

以下のすべての条件が成立する場合、セキュリティ上重要なファイルの表示やコンテンツ挿入の可能性があります。

　* デフォルトサーブレットの書き込みが有効（デフォルトで無効）
　* partial PUT をサポート（デフォルトで有効）
　* セキュリティ上重要なアップロード対象の URL が、パブリックアップロード対象 URL のサブディレクトリである
　* 攻撃者がアップロードされるセキュリティ上重要なファイルの名前を知っている
　* セキュリティ上重要なファイルが partial PUT でアップロードされる

以下のすべての条件が成立する場合、リモートコード実行の可能性があります。

　* デフォルトサーブレットの書き込みが有効（デフォルトで無効）
　* partial PUT をサポート（デフォルトで有効）
　* アプリケーションがデフォルトのストレージロケーションで Tomcat のファイルベースのセッション永続性を使用している
　* アプリケーションに、デシリアライゼーション攻撃に利用される可能性のあるライブラリが含まれている
対策

[アップデートする]
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者によると、本脆弱性は次のバージョンで修正されているとのことです。

　* Apache Tomcat 11.0.3 以降
　* Apache Tomcat 10.1.35 以降
　* Apache Tomcat 9.0.99 以降
ベンダ情報

Apache Software Foundation
CWEによる脆弱性タイプ一覧  CWEとは?

  1. パスの等価性: 'file.name' (内部ドット)(CWE-44) [その他]
  2. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2025-24813
参考情報

  1. JVN : JVNVU#93567491
更新履歴

  • [2025年03月12日]
      掲載

公表日2023/03/11
登録日2025/03/12
最終更新日2025/03/12