Trusted DesignCVE-2025-24813 の詳細
CVEの情報
説明:
Path Equivalence: 'file.Name' (Internal Dot) leading to Remote Code Execution and/or Information disclosure and/or malicious content added to uploaded files via write enabled Default Servlet in Apache Tomcat.
This issue affects Apache Tomcat: from 11.0.0-M1 through 11.0.2, from 10.1.0-M1 through 10.1.34, from 9.0.0.M1 through 9.0.98.
The following versions were EOL at the time the CVE was created but are
known to be affected: 8.5.0 though 8.5.100. Other, older, EOL versions
may also be affected.
If all of the following were true, a malicious user was able to view security sensitive files and/or inject content into those files:
- writes enabled for the default servlet (disabled by default)
- support for partial PUT (enabled by default)
- a target URL for security sensitive uploads that was a sub-directory of a target URL for public uploads
- attacker knowledge of the names of security sensitive files being uploaded
- the security sensitive files also being uploaded via partial PUT
If all of the following were true, a malicious user was able to perform remote code execution:
- writes enabled for the default servlet (disabled by default)
- support for partial PUT (enabled by default)
- application was using Tomcat's file based session persistence with the default storage location
- application included a library that may be leveraged in a deserialization attack
Users are recommended to upgrade to version 11.0.3, 10.1.35 or 9.0.99, which fixes the issue.
CVE更新日: 2025-03-10 17:15:35.067000
CVSSバージョン: 3.1
CVSSスコア: 9.8
KEVの情報
KEV更新日: 2025-04-01
EPSSの情報
EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。
EPSSスコア: 0.999270000
EPSS更新日: 2026-10-16 00:00:00
SSVCの情報
SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。
Exploitation: active
Technical Impact: high
Automatable: True
CVE-2025-24813は、Apache Tomcatに存在する認証不要のリモートコード実行（RCE）の脆弱性です。ファイルパスの正規化の不備とPartial PUT機能が悪用されることで、攻撃者が悪意のあるファイルをアップロードし、特定の条件下で任意のコードを実行したり、情報漏洩やファイル改ざんを引き起こしたりする可能性があります。
1. 脆弱性の概要
CVE-2025-24813は、Apache TomcatのPartial PUT機能におけるパス等価性（Path Equivalence）の不備に起因する脆弱性です。内部にドットを含むファイル名の処理方法に問題があり、攻撃者が細工したシリアライズ済みJavaセッションファイルをアップロードすることで、デシリアライズ処理時に任意のコード実行が可能になります。
1.1 影響
この脆弱性が悪用された場合、以下の影響が想定されます。
1.2 深刻度
Apache Software Foundationは、この脆弱性を「Moderate（中程度）」と評価しています。これは、悪用には特定の非デフォルト設定が必要であるため、一般的なデプロイメントにおける影響が限定されると判断されたためです。
しかし、リモートコード実行の可能性から、一部のセキュリティ機関やベンダーは「深刻」、「高危」、またはCVSS 3.xスコアで最大9.8（Critical）と評価している場合もあります。
概念実証（PoC）コードは既に公開されており、開示直後から脆弱なサーバーを狙ったスキャンや攻撃の試みが確認されています。
2. 対象となる環境
この脆弱性はApache Tomcat自体に存在し、特定のオペレーティングシステムに依存するものではありません。
2.1 影響を受けるOSバージョン
不明（Apache Tomcatの脆弱性であり、特定のOSバージョンに限定されるものではありません。）
2.2 影響を受ける設定
リモートコード実行（RCE）が発生する可能性のある条件は以下の通りです。
情報漏洩やコンテンツ挿入が発生する可能性のある条件は以下の通りです。
3. 影響を受けた時の兆候
4. 推奨対策
4.1 本対策
Apache Tomcatを以下の修正済みバージョンにアップグレードすることを強く推奨します。
4.2 暫定回避策（緩和策）
直ちにアップデートが困難な場合は、以下の緩和策を検討してください。
web.xmlファイル内のデフォルトサーブレットのreadonlyプロパティがtrue（デフォルト設定）であることを確認してください。この設定がfalseになっている場合はtrueに戻すことで、書き込みが無効になります。web.xmlにPUTメソッドを無効にするセキュリティ制約を追加します。xml <security-constraint> <web-resource-collection> <web-resource-name>Disable PUT</web-resource-name> <url-pattern>/*</url-pattern> <http-method>PUT</http-method> </web-resource-collection> <auth-constraint /> </security-constraint>設定変更後はTomcatの再起動が必要です。commons-collections-3.2.1.jar）を削除または更新します。他に解説すべき観点
参照したサイト