Apache TomcatにDoS脆弱性、Webサーバーのセキュリティリスクが浮上

text: XEXEQ編集部

記事の要約
Apache TomcatのDoS脆弱性がWebサーバーセキュリティに与える影響
サービス運用妨害（DoS）攻撃とは
Apache Tomcatの脆弱性対策に関する考察
参考サイト

記事の要約

Apache TomcatにDoS脆弱性が発見
HTTP/2ストリーム処理に問題
最新バージョンへのアップデートが対策

Apache TomcatのDoS脆弱性がWebサーバーセキュリティに与える影響

Apache Software FoundationがApache Tomcatの重大な脆弱性（CVE-2024-34750）を公開した。この脆弱性は、HTTP/2ストリームを処理する際にHTTPヘッダーを適切に処理しないことに起因し、アクティブなHTTP/2ストリームが誤ってカウントされ、クローズされるはずの接続がオープンされたままとなる問題を引き起こす。この問題により、攻撃者がサービス運用妨害（DoS）攻撃を実行できる可能性が生じている。^[1]

影響を受けるバージョンは広範囲に及び、Apache Tomcat 11.0.0-M1から11.0.0-M20、10.1.0-M1から10.1.24、9.0.0-M1から9.0.89までが対象となっている。この脆弱性の影響は深刻で、Webアプリケーションの可用性を著しく低下させる可能性がある。開発者やシステム管理者は、この問題を軽視せず、速やかに対策を講じる必要がある。

	影響を受けるバージョン	推奨されるアップデート先
Apache Tomcat 11	11.0.0-M1から11.0.0-M20	11.0.0-M21以降
Apache Tomcat 10	10.1.0-M1から10.1.24	10.1.25以降
Apache Tomcat 9	9.0.0-M1から9.0.89	9.0.90以降

サービス運用妨害（DoS）攻撃とは

サービス運用妨害（DoS）攻撃とは、ネットワークやシステムのリソースを枯渇させ、正常なサービス提供を妨げる攻撃手法を指す。主な特徴として、以下のような点が挙げられる。

大量のリクエストを送信し、サーバーに過負荷をかける
ネットワーク帯域を消費し、正常な通信を妨害する
システムの脆弱性を悪用し、リソースを枯渇させる
サービスの可用性を低下させ、ユーザーの利用を妨げる
経済的損失や信頼性の低下を引き起こす可能性がある

Apache TomcatのCVE-2024-34750脆弱性では、HTTP/2ストリームの処理に問題があり、攻撃者がこの脆弱性を悪用してDoS攻撃を実行する可能性がある。この攻撃により、Webサーバーのリソースが消費され、正常なユーザーへのサービス提供が妨げられる恐れがある。

Apache Tomcatの脆弱性対策に関する考察

Apache TomcatのDoS脆弱性は、Webアプリケーションの安定性と信頼性に深刻な影響を与える可能性がある。今後、攻撃者がこの脆弱性を悪用し、大規模なDoS攻撃を仕掛ける事態も想定される。そのため、開発者やシステム管理者は、単にバージョンアップを行うだけでなく、HTTP/2の実装に関する詳細な監視と分析を行い、類似の脆弱性を事前に検出する体制を整える必要があるだろう。

Apache Tomcatの今後のリリースでは、HTTP/2ストリーム処理の堅牢性向上が期待される。具体的には、HTTPヘッダー処理の厳格化やストリームカウンティングメカニズムの改善などが考えられる。また、DoS攻撃に対する耐性を高めるため、リソース使用量の制限やレート制限などの機能強化も重要だ。

この脆弱性の発見は、オープンソースソフトウェアのセキュリティ管理の重要性を再認識させる契機となった。Apache Software Foundationには、脆弱性の早期発見と迅速な対応を継続的に行うことが期待される。一方、ユーザー企業にとっては、使用しているソフトウェアのバージョン管理と迅速なアップデート適用の重要性が改めて浮き彫りとなった。