Apache Tomcatに複数のDoS脆弱性が発見、最新版へのアップデートで対策可能に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約
Apache Tomcatの複数のDoS脆弱性に対するアップデート公開
Apache Tomcatの脆弱性対策まとめ
サービス運用妨害（DoS）について
Apache Tomcatの脆弱性対策に関する考察
参考サイト

記事の要約

Apache Tomcatに複数のDoS脆弱性が発見
影響を受けるバージョンは7.x、8.x、9.x、10.x
最新版へのアップデートで脆弱性に対処可能

Apache Tomcatの複数のDoS脆弱性に対するアップデート公開

The Apache Software Foundationは、Apache Tomcatの複数の脆弱性に対するアップデートを2020年7月15日に公開した。この脆弱性は、h2c direct connectionにおけるHTTP/2へのアップグレード処理とWebSocketフレームのペイロード長の検証に関連するもので、遠隔の第三者によるサービス運用妨害（DoS）攻撃を可能にする可能性がある。影響を受けるバージョンは、Tomcat 7.x、8.x、9.x、10.xの広範囲に及んでいる。^[1]

具体的には、CVE-2020-13934とCVE-2020-13935の2つの脆弱性が報告された。CVE-2020-13934は、h2c direct connectionによるHTTP/2へのアップグレードの要求が大量に行われると、OutOfMemoryExceptionが発生しDoS状態になる問題だ。一方、CVE-2020-13935は、無効なペイロード長の通信が行われると、無限ループが発生しDoS状態になる脆弱性である。これらの脆弱性は、Webアプリケーションの可用性に深刻な影響を与える可能性がある。

The Apache Software Foundationは、これらの脆弱性に対処するため、Apache Tomcat 10.0.0-M7、9.0.37、8.5.57、7.0.105をリリースした。ユーザーは、使用しているTomcatのバージョンに応じて、該当する最新版へのアップデートを行うことが推奨される。また、この脆弱性情報は2024年9月12日に最終更新されており、継続的な監視と対応が必要であることを示唆している。

Apache Tomcatの脆弱性対策まとめ

	CVE-2020-13934	CVE-2020-13935
脆弱性の種類	DoS (OutOfMemoryException)	DoS (無限ループ)
影響を受ける機能	HTTP/2アップグレード処理	WebSocketフレーム処理
攻撃方法	h2c direct connectionの大量リクエスト	無効なペイロード長の通信
対策バージョン	10.0.0-M7, 9.0.37, 8.5.57, 7.0.105	10.0.0-M7, 9.0.37, 8.5.57, 7.0.105

サービス運用妨害（DoS）について

サービス運用妨害（DoS）とは、システムやネットワークのリソースを枯渇させ、本来のサービスを利用不能にする攻撃のことを指しており、主な特徴として以下のような点が挙げられる。

システムやネットワークの正常な動作を妨害する
大量のリクエストやトラフィックを発生させる
サーバーのリソースを過剰に消費させる

Apache Tomcatの脆弱性の場合、HTTP/2アップグレード処理の不備によるメモリ枯渇や、WebSocketフレーム処理での無限ループによってDoS状態が引き起こされる。これらの脆弱性は、攻撃者が比較的容易に実行でき、かつ検出が困難な場合があるため、Webアプリケーションサーバーの運用者にとって重大な脅威となる。適切なバージョン管理と迅速なセキュリティアップデートの適用が、DoS攻撃からシステムを守る鍵となる。

Apache Tomcatの脆弱性対策に関する考察

Apache TomcatのDoS脆弱性対策として最新版へのアップデートが提供されたことは、Webアプリケーションの安全性向上に大きく貢献する。特にh2c direct connectionとWebSocketフレーム処理に関する脆弱性が修正されたことで、これらの機能を利用するアプリケーションの安定性が向上し、DoS攻撃のリスクが軽減されるだろう。ただし、アップデートの適用には慎重な検証が必要であり、特に大規模なシステムでは互換性の問題が発生する可能性もある。

今後の課題として、Tomcatの各バージョンのサポート期間と脆弱性対応の迅速性が挙げられる。長期間使用されている旧バージョンのサポートと、新たに発見される脆弱性への対応のバランスを取ることが重要だ。また、HTTP/2やWebSocketなどの新しい技術を採用する際のセキュリティテストの強化も必要になるだろう。開発者コミュニティと運用者の間で、脆弱性情報の共有と対策の実装をより効率的に行う仕組みの構築が望まれる。

将来的には、Apache Tomcatに自動的な脆弱性検知と修正機能が組み込まれることが期待される。AI技術を活用した異常検知システムの導入や、コンテナ技術を利用した迅速なパッチ適用メカニズムの実装など、より高度なセキュリティ対策が求められるだろう。同時に、ユーザー企業向けのセキュリティベストプラクティスガイドラインの充実や、脆弱性対応のための専門的なサポートサービスの拡充も、Tomcatのエコシステム全体の安全性向上に寄与すると考えられる。