セキュリティ

SECURITY

公開：2024-09-14

Apache TomcatのDoS脆弱性、CVE-2023-24998とCVE-2023-28709が報告され最新版へのアップデートが推奨

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Apache TomcatにDoS脆弱性が存在
• CVE-2023-24998とCVE-2023-28709が報告
• 最新バージョンへのアップデートが推奨

Apache TomcatのDoS脆弱性、複数のバージョンに影響

Apache Software Foundationは、Apache TomcatにApache Commons FileUploadによるサービス運用妨害（DoS）の脆弱性が存在することを公開した。この脆弱性は、CVE-2023-24998とCVE-2023-28709として識別されており、複数のバージョンのApache Tomcatに影響を与えている。Apache Commons FileUpload 1.5より前のバージョンでは1リクエストでアップロード可能なファイル数を制限していないため、DoS攻撃の可能性が指摘されている。^[1]

CVE-2023-24998の影響を受けるバージョンには、Apache Tomcat 11.0.0-M1、10.1.0-M1から10.1.4、9.0.0-M1から9.0.70、8.5.0から8.5.84が含まれる。一方、CVE-2023-28709は、Apache Tomcat 11.0.0-M2から11.0.0-M4、10.1.5から10.1.7、9.0.71から9.0.73、8.5.85から8.5.87に影響を与える。この脆弱性により、第三者による悪意のあるアップロードが行われ、サービス運用妨害攻撃を受ける可能性がある。

対策として、開発者が提供する情報をもとに最新版へのアップデートが推奨されている。修正済みのバージョンには、Apache Tomcat 11.0.0-M5以降、10.1.8以降、9.0.74以降、8.5.88以降が含まれる。また、Apache Commons FileUpload 1.5以降では、1リクエストでアップロード可能なファイル数を設定可能とするオプションが追加された。ただし、この設定はデフォルトでは無効であり、利用者側で明示的に設定を追加する必要がある。

Apache Tomcatの脆弱性対応バージョン一覧

サービス運用妨害（DoS）について

サービス運用妨害（DoS）とは、コンピュータやネットワークリソースに対して意図的に過剰な負荷をかけ、本来のサービスの提供を妨害する攻撃手法のことを指す。主な特徴として以下のような点が挙げられる。

• システムやネットワークの処理能力を超える大量のリクエストを送信
• サーバーやアプリケーションの脆弱性を悪用して機能を停止させる
• 正規ユーザーのサービス利用を妨害し、ビジネスや組織の運営に影響を与える

Apache TomcatのDoS脆弱性は、ファイルアップロード機能を悪用したものである。Apache Commons FileUploadパッケージのコピーが採用されており、1リクエストでアップロード可能なファイル数に制限がないため、攻撃者が大量のファイルを一度にアップロードすることでサーバーリソースを枯渇させ、正常なサービス提供を妨害することが可能となっている。このような脆弱性は、適切な入力検証やリソース制限の実装によって防ぐことができる。

Apache Tomcatの脆弱性対応に関する考察

Apache TomcatのDoS脆弱性への対応は、Webアプリケーションセキュリティの重要性を再認識させる良い機会となった。特に、広く使用されているApache Commons FileUploadライブラリの脆弱性が明らかになったことで、多くの開発者がファイルアップロード機能の実装に関するセキュリティ対策を見直すきっかけになるだろう。一方で、この脆弱性の修正に時間がかかったことは、オープンソースプロジェクトの保守管理における課題を浮き彫りにしている。

今後、同様の脆弱性を防ぐためには、コードレビューの強化やセキュリティテストの自動化など、開発プロセスの改善が必要になるかもしれない。また、Apache Software Foundationのような大規模なオープンソースプロジェクトでは、脆弱性の報告から修正、パッチのリリースまでのプロセスを効率化することが求められるだろう。セキュリティ研究者との協力関係を強化し、脆弱性の早期発見と迅速な対応を可能にする体制作りが重要になると考えられる。

さらに、Apache Tomcatユーザーにとっては、定期的なセキュリティアップデートの重要性が再認識されたと言える。今回のような脆弱性は、適切なバージョン管理とタイムリーなアップデートによって回避できる可能性が高い。今後は、セキュリティアップデートの自動化やコンテナ化技術の活用など、より柔軟で安全なアプリケーション運用方法の検討が進むことが期待される。Apache Tomcatの開発チームには、これらの課題に対応しつつ、さらなる機能強化と安定性の向上を期待したい。

参考サイト

1. ^ JVN. 「JVNVU#91253151」. https://jvn.jp/vu/JVNVU91253151/index.html, (参照 24-09-14).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧