CVE詳細 - CVE-2017-12615-

CVE-2017-12615 の詳細

CVEの情報

説明:
When running Apache Tomcat 7.0.0 to 7.0.79 on Windows with HTTP PUTs enabled (e.g. via setting the readonly initialisation parameter of the Default to false) it was possible to upload a JSP file to the server via a specially crafted request. This JSP could then be requested and any code it contained would be executed by the server.

CVE更新日: 2017-09-19 13:29:00.190000

CVSSバージョン: 3.1

CVSSスコア: 8.1

KEVの情報

KEV更新日: 2022-03-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.996410000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2017-12615は、Apache Tomcatにおけるリモートコード実行 (RCE) の脆弱性です。

1. 脆弱性の概要

Apache Tomcat 7.0.0から7.0.79がMicrosoft Windows上で動作しており、HTTP PUTリクエストが有効な状態で、DefaultServletのreadonlyパラメータがfalseに設定されている場合に発生します。この条件が揃うと、認証されていない攻撃者が細工したリクエストを送信して悪意のあるJSPファイルをWebサーバーにアップロードし、そのファイルを要求することで任意のJavaコードを実行できる可能性があります。

1.1. 影響 攻撃者は、脆弱なTomcatサーバー上で任意のコードを実行し、サーバーを完全に掌握したり、機密情報を窃取したり、ランサムウェアをインストールしたり、内部ネットワークへの侵入の足がかりにしたりする可能性があります。

1.2. 深刻度 - CVSS v3: 8.1 (High) - Apache Software Foundationは、この脆弱性を「Important」（重要）と評価しています。

2. 対象となる環境

2.1. 影響を受けるOSバージョン 主にMicrosoft Windows環境で動作しているApache Tomcatが影響を受けます。ただし、関連する脆弱性であるCVE-2017-12617では、Windows以外のOS（Linux、Unixなど）も影響を受けることがJPCERT/CCによって確認されています。

2.2. 影響を受ける設定 - Apache Tomcatのバージョンが7.0.0から7.0.79であること。 - HTTP PUTメソッドが有効になっていること。 - conf/web.xml内のDefaultServletのreadonly初期化パラメータがfalseに設定されていること（デフォルトはtrue）。

3. 影響を受けた時の兆候

Webルートディレクトリ内に、意図しないJSPファイルが作成されている。
Tomcatのアクセスログに不審なHTTP PUTリクエストが記録されている。
Tomcatサービスが動作している権限で、任意のJavaコードが実行されている形跡がある。

4. 推奨対策

4.1. 本対策 - Apache Tomcatのアップデート: - Apache Tomcat 7.0.82以降にアップグレードしてください。（当初、7.0.81で修正されたとされていましたが、その後の検証で包括的な修正は7.0.82で行われました）。 - 他の系列の修正バージョンは以下の通りです。 - Apache Tomcat 8.0.47 - Apache Tomcat 8.5.23 - Apache Tomcat 9.0.1

4.2. 暫定回避策（緩和策） - HTTP PUTメソッドの無効化: 必要不可欠でない限り、HTTP PUTリクエストを無効に設定してください。 - readonlyパラメータの設定: DefaultServletのreadonlyパラメータをtrueに設定してください。 - Webアプリケーションファイアウォール (WAF) の導入: 悪意のあるリクエストを検知・ブロックするためにWAFを導入することを検討してください。 - アップロード権限の制限: 不必要なファイルアップロード権限を制限してください。 - ログ監視の強化: Tomcatのアクセスログを定期的に確認し、不審なPUTリクエストがないか監視してください。 - JspServletの無効化: Tomcatを静的コンテンツ配信やファイルサーバーとして使用し、動的なJSP処理が不要な場合は、JspServletを無効にすることでRCEを防ぐことができます。

その他に解説すべき観点

本脆弱性(CVE-2017-12615)が公開された後、その修正をバイパスする手法が確認され、より広範なTomcatのバージョンやOSに影響を与えるCVE-2017-12617が新たに採番されました。これらの脆弱性は関連性が高く、同じような設定ミスが原因となるため、CVE-2017-12615の対策を講じる際には、CVE-2017-12617についても考慮することが重要です。

参照したサイト

GitHub - CVE-2017-12615 - Apache Tomcat Remote Code Execution (RCE).
JPCERT/CC - Apache Tomcat における脆弱性に関する注意喚起.
INTERNET Watch - 「Apache Tomcat」にゼロデイ脆弱性、JPCERT/CCが回避策を案内.
CVE Record - CVE-2017-12615.
セイ・テクノロジーズ - Apache Tomcat に関する脆弱性の影響について (CVE-2017-12615, CVE-2017-12616, CVE-2017-12617).
セキュアソフト - 注意喚起：Apache Tomcatにおける脆弱性について.
WAF Tech Blog - Tomcatに見つかった3つの脆弱性について.
gihyo.jp - 第38回 2017年9月～今月は脆弱性祭り～どうしてこんなに出てくるのか～.
JVN - JVNVU#99259676: Apache Tomcat の複数の脆弱性に対するアップデート.
Security NEXT - 「Apache Tomcat」に複数の脆弱性 - アップデートがリリース.
Fortinet Community - Critical Vulnerability CVE-2017-12615 in Apache Tomcat.
株式会社NTTデータ先端技術 - Apache Tomcatに含まれる脆弱性(CVE-2017-12617)に関する脆弱性検証レポート.
セイ・テクノロジーズ - [影響なし] Apache Tomcat に関する脆弱性 (CVE-2017-12615, CVE-2017-12616, CVE-2017-12617) の影響について.
Tenable® - Apache Tomcat 7.0.x < 7.0.81 の複数の脆弱性.
Red Hat Customer Portal - CVE-2017-12615.
Tomcat任意文件写入（CVE-2017-12615）漏洞复现-含POC和EXP - 纸机- 博客园.
Pentest-Tools.com - Apache Tomcat Servers - Remote Code Execution (CVE-2017-12615).
Deconstructing Apache Tomcat JSP Upload Remote Code Execution (CVE-2017-12615).
マイナビニュース - Apache Tomcatに複数の脆弱性、最新版に更新を.

NVDサイト

NVDでCVEの詳細を見る

戻る