Apache Tomcatの重大なRCE脆弱性が修正される：CVE-2024-56337

佐々山 Tacos

2024.12.24

12月24日：サイバーセキュリティ関連ニュース

Apache Tomcatの重大なRCE脆弱性が修正される：CVE-2024-56337

Securityonline[.]info – December 22, 2024

Apache Software Foundationが、Apache Tomcatにおける重大なRCE脆弱性CVE-2024-56337に対処するセキュリティアップデートをリリース。Apache TomcatはオープンソースのWebサーバー/サーブレットコンテナで、JavaベースのWebアプリケーションの使用・デプロイに広く利用されている。

今回修正されたCVE-2024-56337は、以前開示された別の脆弱性CVE-2024-50379への対処が不完全だったことに起因する問題。攻撃者は、ケースセンシティブでないファイルシステムで、Tomcatのデフォルトサーブレットが書き込み可能になっている場合にCVE-2024-56337を悪用できる。悪用に成功した場合、攻撃者はセキュリティ措置をバイパスして有害なJSPコードを含むファイルをアップロードし、最終的にリモートコード実行に繋げられる可能性があるという。

影響を受けるバージョンは11.0.0-M1〜11.0.1、10.1.0-M1〜10.1.33、9.0.0.M1〜9.0.97で、それぞれ以下のバージョンへのアップデートが求められる。

11.0.2以降
10.1.34以降
9.0.98以降

また、使用されているJacaのバージョンによっては、リスクを完全に緩和するためにさらなる設定が必要になる場合もあるとのこと。

Java 8、Java 11、Java 17：システムプロパティsun.io.useCanonCachesをfalseに設定する。
Java 21以降：ユーザーによる設定は不要。

AdobeがColdFusionの重大な脆弱性について警告、PoCも存在：CVE-2024-53961

BleepingComputer – December 23, 2024

Adobeは現地時間の23日、ColdFusionにおける重大な脆弱性CVE-2024-53961に対処するためのアウトオブバンド・セキュリティアップデートをリリース。パストラバーサルの問題に起因するこの脆弱性は、攻撃者に悪用された場合、脆弱なサーバー上での任意ファイルの読み取りを可能にする恐れがあるという。

Adobeは、「標的にされる高いリスク」があることを理由に同脆弱性の優先度（Priority）を最高レベルの「1」に分類。顧客に注意を呼びかけるとともに、「CVE-2024-53961には任意のファイルシステム読み取りを引き起こし得る既知の概念実証が存在することを認識しています」と述べてPoCエクスプロイトコードの存在についても警告した。なお、実際の攻撃での悪用有無についての言及はなされていない。

影響を受けるバージョンはColdFusion 2023およびColdFusion 2021で、それぞれの管理者には、Update 12またはUpdate 18で提供されている緊急セキュリティパッチを可及的速やかに適用することが推奨されている。