Trusted DesignCVE-2017-12617 の詳細
CVEの情報
説明:
When running Apache Tomcat versions 9.0.0.M1 to 9.0.0, 8.5.0 to 8.5.22, 8.0.0.RC1 to 8.0.46 and 7.0.0 to 7.0.81 with HTTP PUTs enabled (e.g. via setting the readonly initialisation parameter of the Default servlet to false) it was possible to upload a JSP file to the server via a specially crafted request. This JSP could then be requested and any code it contained would be executed by the server.
CVE更新日: 2017-10-04 01:29:02.120000
CVSSバージョン: 3.1
CVSSスコア: 8.1
KEVの情報
KEV更新日: 2022-03-25
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.999680000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2017-12617について、以下の観点で解説します。
1. 脆弱性の概要
Apache Tomcatにおけるリモートコード実行（RCE）の脆弱性です。攻撃者が特別に細工したHTTP PUTリクエストを送信することで、悪意のあるJSPファイルをサーバーにアップロードし、その後にアップロードされたファイルにアクセスすることで、サーバー上で任意のコードを実行される可能性があります。
この脆弱性は、以前に報告されたCVE-2017-12615の修正をバイパスするものであり、CVE-2017-12615がWindows環境に限定されていたのに対し、CVE-2017-12617はWindows以外のOS（Linux、Unixなど）にも影響が拡大しました。
1.1 影響 攻撃者は、脆弱性を悪用して、サーバー上で任意のコードを実行することができます。これにより、機密情報の漏洩、追加の悪意あるファイルのアップロード、サーバーの完全な破壊など、さまざまな有害な行動につながる可能性があります。
1.2 深刻度 この脆弱性は「Important」（重要）と分類されています。 共通脆弱性評価システム (CVSS) v3.xの基本スコアは8.1（High）です。 CVSS v3.1ベクトルは
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:Hです。2. 対象となる環境
2.1 影響を受けるOSバージョン すべてのオペレーティングシステム（Windows、Linux、Unixなど）が影響を受けます。
2.2 影響を受ける設定 以下の両方の条件を満たすApache Tomcat環境が影響を受けます。 * HTTP PUTメソッドが有効になっている。 * DefaultServletまたはWebDAVサーブレットの
readonly初期化パラメータがfalseに設定されている（conf/web.xmlファイル内）。readonlyパラメータは、デフォルトではtrueであり、エンドユーザーによるファイルのアップロード、変更、削除を防ぎます。これがfalseに設定されている場合に脆弱性が発現します。 また、DefaultServletとJspServletの両方がweb.xml内で有効になっている場合に脆弱性が発現するとされています。3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策 Apache Software Foundationから提供されている修正済みのバージョンへアップデートすることが最も推奨される対策です。 * Apache Tomcat 9.0.1以降 * Apache Tomcat 8.5.23以降 * Apache Tomcat 8.0.47以降 * Apache Tomcat 7.0.82以降
4.2 暫定回避策（緩和策） *
readonlyパラメータの設定:conf/web.xmlファイル内のDefaultServletまたはWebDAVサーブレットのreadonly初期化パラメータをtrueに設定し、HTTP PUTメソッドを無効にします。これはデフォルト設定であり、特別な理由がない限りfalseにすべきではありません。 * アクセス制限:readonlyパラメータをtrueに設定できない環境の場合、インターネットからのアクセスに対して適切なアクセス制限（例：ファイアウォールやWAFによるフィルタリング）を実施することを推奨します。 * JspServletの無効化: JSPによる動的な機能が不要な場合、JspServletを無効にすることでRCEの発生を防ぐことができます。 * 不正アクセス監視機器による対策: WAF (Web Application Firewall) やIPS/IDSなどの不正アクセス監視機器を導入し、この脆弱性を悪用する攻撃パターンを検出・ブロックすることも有効です。参照したサイト