Security NEWS TOPに戻る
バックナンバー TOPに戻る
お問い合わせ
お問い合わせはこちらからお願いします。後ほど、担当者よりご連絡いたします。
はじめに
Apache Tomcatは、多くのWebアプリケーションで利用されている人気のサーブレットコンテナですが、最新の脆弱性CVE-2025-24813が重大なリスクとして報告されています。既にPoC（Proof of Concept）が公開され、実際に攻撃に悪用されている事例も確認されています。これにより、リモートコード実行（RCE）や情報漏洩といった深刻な被害が発生する可能性が高まっています。
脆弱性の詳細
CVE-2025-24813の概要
・概要
Apache Tomcatに存在する脆弱性で、ファイルパスの正規化の不備を突くことで、攻撃者が悪意のあるファイルをアップロードし、シリアライズ済みセッションのデシリアライズ処理時に任意のコード実行が可能となります。
・攻撃シナリオ
攻撃者は、PUTリクエストを利用して、悪意のあるシリアライズ済みJavaセッションファイル（PoCとして公開済み）をTomcatのセッションストレージにアップロードします。その後、GETリクエストでJSESSIONIDを指定することで、Tomcatがこの不正なセッションファイルをデシリアライズし、悪意のあるコードが実行されます。
・リスク
認証不要でリモートからコード実行が可能なため、攻撃者によってシステム全体が乗っ取られるリスクが高いです。さらに、アップロードされたファイルは、従来のセキュリティ対策（WAF等）で検知されにくいという特徴があります。
• CVSSベーススコア
※現状の具体的な数値は各セキュリティ情報サイト等をご確認ください。（本記事ページ下部【参考情報】ご参照）
推奨対策
- パッチ適用とアップグレード
• アップグレードの実施
脆弱性が修正された最新バージョンへのアップグレードを速やかに実施してください。Apache Tomcat のバージョンアップにより、脆弱性を根本的に解消できます。 - 設定変更による一時的な対策
• デフォルト設定の見直し
Webアプリケーションの設定ファイル（例：web.xml）で、デフォルトの書き込み機能を無効化するなど、一時的なセキュリティ強化策を講じることも有効です。 - セキュリティ管理の強化
• 脆弱性管理プログラムの導入
定期的な脆弱性診断と評価を行い、システムに内在する脆弱性を早期に検出し修正してください。
• 管理者アクセスの制御
管理者アカウントには多要素認証などの追加対策を実施し、アクセス権限を最小限に絞ることが重要です。
緊急対応窓口のご案内
万が一、CVE-2025-24813に関連する攻撃や不審な活動が自社内で確認された場合は、直ちに弊社緊急対応窓口までご連絡ください。迅速な対応と調査を通じて、被害の拡大を防ぐお手伝いをいたします。
サイバーインシデント緊急対応
まとめ
Apache Tomcatの脆弱性CVE-2025-24813は、既にPoCが公開され攻撃に悪用されている深刻な問題です。お使いのTomcat環境が影響を受けている場合、速やかに最新パッチの適用やアップグレード、必要な設定変更を実施してください。また、万一の攻撃が確認された際には、弊社緊急対応窓口までお知らせいただくことで、迅速な支援を受けることが可能です。
【参考情報】
- NVD – CVE-2025-24813
https://nvd.nist.gov/vuln/detail/CVE-2025-24813 - GitHub – PoC for CVE-2025-24813
https://github.com/absholi7ly/POC-CVE-2025-24813 - Apache Mailing List Thread (脆弱性詳細)
https://lists.apache.org/thread/j5fkjv2k477os90nczf2v9l61fb0kkgq - Snyk Vulnerability Database
https://security.snyk.io/vuln/SNYK-JAVA-ORGAPACHETOMCATEMBED-9396739
Security NEWS TOPに戻る
バックナンバー TOPに戻る
ウェビナー開催のお知らせ
「予防で差がつく！脆弱性診断の話～脆弱性による脅威とその対策～」
「今さら聞けない！PCI DSSで求められる脆弱性診断-いよいよ未来日付要件が有効に！PCI DSSv4.0での脆弱性診断実施におけるポイントとは-」
「知っておきたいIPA『情報セキュリティ10大脅威 2025』～セキュリティ診断による予防的コントロール～」
最新情報はこちら
