JVNVU#98102314: Apache Tomcatにおける複数の脆弱性

The Apache Software Foundationが提供するApache Tomcatには、複数の脆弱性が存在します。

The Apache Software Foundationから、Apache Tomcatの脆弱性に対するアップデートが公開されました。

ケースセンシティブでないファイルシステムで、読み取り専用の初期化パラメーターreadonlyにfalseを設定し、初期設定のサーブレットが書き込み可能な場合、同一のファイルのロード中に同時に読み取りとアップロードを行うと、Tomcatのケースセンシティビティのチェックを回避する問題（CVE-2024-50379、CVE-2024-56337）
初期設定ではローカルホストのみアクセス可能なexamples Webアプリケーションにおいて、アップロードされるデータに制限を設けていない問題（CVE-2024-54677）

脆弱性を悪用された場合、次のような影響を受ける可能性があります。

アップデートする
開発者が提供する情報をもとに、以下バージョンへアップデートしてください。

【2024年12月24日追記】
特定の条件下においてCVE-2024-50379の脆弱性の回避に追加の構成が必要となるため、CVE-2024-56337が採番されました。
CVE-2024-56337について、開発者は以下の回避策を案内しています。

Java 8、Java 11およびJava 17で当該製品を使用する場合は、システムプロパティsun.io.useCanonCachesをfalseに設定してください

Java 21およびそれ以降で当該製品を使用する場合は、ユーザによる設定は不要です。

ベンダ	リンク
The Apache Software Foundation	[SECURITY] CVE-2024-50379 Apache Tomcat - RCE via write-enabled default servlet
	[SECURITY] CVE-2024-54677 Apache Tomcat - DoS in examples web application
	[SECURITY] CVE-2024-56337 Apache Tomcat - RCE via write-enabled default servlet - CVE-2024-50379 mitigation was incomplete
	Apache Tomcat 11 vulnerabilities
	Apache Tomcat 10 vulnerabilities
	Apache Tomcat 9 vulnerabilities

JVNVU#98102314 Apache Tomcatにおける複数の脆弱性