I.概要

Apache Software Foundation は、2017年9月19日 (標準時間) に、Apache Tomcatの脆弱性 (CVE-2017-12615 およびCVE-2017-12616) に関する情報を公開しました。脆弱性(CVE-2017-12615) では、Windows で利用している Apache Tomcatにおいて、readonly パラメータを false に設定し、HTTP PUT リクエストを受け付け可能としている場合に、細工したリクエストを受けることで、遠隔から任意のコードが実行される可能性があります。脆弱性 (CVE-2017-12616) では、VirtualDirContext を利用している場合に、細工したリクエストを受けることで、セキュリティ制限がバイパスされ、VirtualDirContext を使用したリソース配下の JSP ソースコードを閲覧される可能性があります。

脆弱性の詳細については、Apache Software Foundation からの情報を参照してください。

II.対象

次のバージョンの Apache Tomcat が本脆弱性の影響を受けます。

CVE-2017-12617 の脆弱性については次のバージョンの Apache Tomcat が影響を受けます。

**********************************************************************

III.対策

Apache Software Foundation より、修正済みのバージョンが提供されています。修正済みのバージョンを適用することをご検討ください。

Apache Software Foundation より、Apache Tomcat 9系および 8.5系において
は CVE-2017-12617 の脆弱性を修正したバージョンが提供されています。

**********************************************************************

Apache Software Foundation より、Apache Tomcat 8.0系および 7系の修正済みのバージョンが追加で提供されています。早期の適用をご検討ください。

**********************************************************************

IV. 回避策

2017年9月25日現在、Apache Software Foundation からは、脆弱性 (CVE-2017-12617)
への対策を施した修正済みのバージョンは提供されておりません。

<init-param>
<param-name>readonly</param-name>
<param-value>true</param-value>
</init-param>

**********************************************************************

V. 参考情報

Apache Software Foundation
Fixed in Apache Tomcat 7.0.81
http://tomcat.apache.org/security-7.html#Fixed_in_Apache_Tomcat_7.0.81

Apache Software Foundation
Fixed in Apache Tomcat 9.0.1
http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.1

**********************************************************************

Apache Software Foundation
Fixed in Apache Tomcat 8.0.47
http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_8.0.47

**********************************************************************

改訂履歴
2017-09-20 初版
2017-09-25 「I. 概要」、「IV. 回避策」を追記
2017-10-04 「II. 対象」「III. 対策」「V. 参考」を追記
2017-10-05 「III. 対策」「V. 参考」を追記