Trusted Design

CVE-2026-34486 の詳細

CVEの情報

説明:
Missing Encryption of Sensitive Data vulnerability in Apache Tomcat due to the fix for CVE-2026-29146 allowing the bypass of the EncryptInterceptor. This issue affects Apache Tomcat: 11.0.20, 10.1.53, 9.0.116. Users are recommended to upgrade to version 11.0.21, 10.1.54 or 9.0.117, which fix the issue.

CVE更新日: 2026-04-09 20:16:25.063000

CVSSバージョン: 3.1

CVSSスコア: 7.5

KEVの情報

KEV更新日: 2026-08-04

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.065610000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-34486について、以下の観点で解説します。

1. 脆弱性の概要

Apache Tomcatにおいて、機微なデータの暗号化の欠如（Missing Encryption of Sensitive Data）の脆弱性が存在します。これは、以前の脆弱性CVE-2026-29146に対する修正が不完全であったために発生し、EncryptInterceptorのバイパスを許してしまうものです。この脆弱性により、複合化が失敗した場合でも、暗号化されていないメッセージや不正な形式のメッセージが暗号化チェックを迂回して処理層に到達する可能性があります。

1.1 影響

本脆弱性が悪用されると、機微なデータが暗号化されずに残り、情報漏えいにつながる可能性があります。 クラスタポートにアクセスできる攻撃者は、暗号化されていない任意のメッセージを注入することができ、脆弱なガジェットクラスが存在する場合にはリモートコード実行（RCE）につながる可能性があります。

1.2 深刻度

  • Apache Software Foundationは、この脆弱性を「Important」と評価しています。
  • NVD（National Vulnerability Database）およびTenableは、CVSS v3.1スコアを7.5（High）と評価しています。
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
  • CISA（米サイバーセキュリティ・インフラセキュリティ庁）は、2026年8月4日に本脆弱性を「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities Catalog: KEV）」に追加しており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

本脆弱性はApache Tomcatのコンポーネントに起因するため、特定のOSバージョンではなく、以下のApache Tomcatのバージョンが影響を受けます。

  • Apache Tomcat 11.0.20
  • Apache Tomcat 10.1.53
  • Apache Tomcat 9.0.116

Red Hat Enterprise LinuxおよびRed Hat JBoss Web Server環境で、影響を受けるバージョンのApache Tomcatを使用している場合も影響を受けます。

2.2 影響を受ける設定

以下の両方の条件を満たす環境が影響を受けます。

  • Apache Tomcatのクラスタリング機能（Tribesモジュール）が有効になっていること。
  • EncryptInterceptorが設定されていること。

単一構成で運用されているTomcat環境は影響を受けません。

3. 影響を受けた時の兆候

  • 複合化に失敗した場合でも、暗号化されていない生のメッセージがハンドラチェーンに渡される。
  • 攻撃者によってクラスタポートに任意の暗号化されていないメッセージが注入される可能性がある。
  • 悪用可能なガジェットクラスが存在する場合、リモートコード実行が発生する可能性がある。
  • 機微なデータが暗号化されずに通信されることによる情報漏えい。
  • CISAがKEVに登録したことから、すでに実際の攻撃で悪用されていることが確認されているため、影響を受ける環境では常に侵害のリスクがあります。

4. 推奨対策

4.1 本対策

以下の修正済みバージョンにアップグレードしてください。

  • Apache Tomcat 11.0.21
  • Apache Tomcat 10.1.54
  • Apache Tomcat 9.0.117

各ディストリビューションの案内に従い、アップデートを実施してください。

4.2 暫定回避策（緩和策）

直ちにアップグレードができない場合、以下の緩和策を検討してください。

  • Tribesクラスタ通信ポート（例：TCP/4000）への到達範囲を制限する。
  • クラスタ通信ポートを到達可能なネットワークから隔離する。

なお、本脆弱性は以前の修正の不備によって導入されたリグレッションであるため、以前のバージョンへのダウングレードは適切な緩和策ではありません。

他に解説すべき観点

  • 背景: 本脆弱性は、CVE-2026-29146（Padding Oracle）の修正時に導入されたリグレッション（意図しない退行）です。EncryptInterceptor.messageReceived()メソッド内で、super.messageReceived(msg)の呼び出しが、複合化の失敗を処理するtry-catchブロックの外に誤って移動されたことが根本原因です。
  • 発見の経緯: 2026年3月26日にApache Tomcatセキュリティチームに報告され、2026年4月9日に一般公開されました。 その後、2026年8月4日にはCISAのKEVカタログに追加され、実際に悪用が確認されています。
  • 悪用状況: 公開当初から複数のPoC（概念実証コード）が公開されていました。 CISAのKEV登録により、実環境での悪用が確認されています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る