2025年3月、米国のサイバーセキュリティ機関CISAは、Apache Tomcatに存在する脆弱性「CVE-2025-24813」が実際に悪用されているとして、公式に注意喚起を行いました。
本記事では、脆弱性の詳細やリスク、CISAの警告内容、そしてセキュリティ担当者が取るべき対策について紹介します。
CVE-2025-24813とは？Apache Tomcatにおける脆弱性の概要
Apache Tomcatは、JavaベースのWebアプリケーションを動作させるためのオープンソースサーバソフトウェアです。多くの企業で業務システムや社内アプリケーションの基盤として採用されており、その広範な導入実績から、脆弱性が発覚した際の影響も大きくなります。
今回問題となっている「CVE-2025-24813」は、TomcatにおけるHTTPリクエスト処理に関連する不具合です。この脆弱性を悪用されると、外部からのリクエストによって**意図しないエラーが発生し、サービス妨害（DoS）やリモートコード実行（RCE）**につながるおそれがあります。
影響を受けるのは以下のバージョンです：
これらのバージョンを使用している場合は、早急な対応が必要です。
米CISAが注意喚起｜既知の悪用が確認された理由
米国のサイバーセキュリティ機関であるCISA（Cybersecurity and Infrastructure Security Agency）は、2025年3月27日付で本脆弱性（CVE-2025-24813）を「Known Exploited Vulnerabilities Catalog（既知の悪用された脆弱性カタログ）」に追加しました。
このカタログに登録されるということは、すでに実際の攻撃で悪用されたことが確認されていることを意味します。
さらに、CISAは米連邦機関に対し、2025年4月18日までにパッチの適用または他の緩和措置を講じるよう通達しています。これは単なる潜在的なリスクではなく、現在進行形での脅威として捉えられている証拠です。
CVE-2025-24813がもたらすリスクとは？
この脆弱性が悪用されると、以下のような重大なセキュリティリスクが発生します：
- DoS（サービス妨害）攻撃：異常なリクエストにより、アプリケーションが正常に動作しなくなる
- リモートコード実行（RCE）：外部から任意のコードが実行され、システムが乗っ取られる危険性
- 情報漏洩や権限昇格：攻撃手法によっては管理者権限の取得につながる可能性も
特にインターネット公開されているTomcatサーバにおいては、リモートからの直接攻撃が可能となるため、早急な対策が求められます。
セキュリティ担当者が取るべき対策
CVE-2025-24813への対応として、最も重要なのは対象バージョンの使用をやめ、修正済みバージョンへアップデートすることです。
対応済みバージョン：
また、自社のTomcatバージョンを確認するには、以下のような手順が有効です：
- Tomcat管理画面（http://[サーバIP]:8080/）でバージョン情報を確認
version.sh（Linux）やversion.bat（Windows）スクリプトを実行して確認
$ $CATALINA_HOME/bin/version.shパッチ適用が難しい場合の一時的措置（可能であれば）：
- 外部公開サーバへのアクセス制限（IP制限やWAFの活用）
- 該当機能の一時的な停止や設定変更による緩和
とはいえ、恒久的な対策としてはパッチ適用が唯一の根本解決策です。
今後のために｜脆弱性対策の情報収集をどう行うべきか
脆弱性は日々発見されており、攻撃者は「公開されたばかりの脆弱性」を狙って自動化ツールでスキャンを行っています。
以下の情報源を継続的にウォッチすることで、迅速な対応が可能になります：
また、SBOM（ソフトウェア部品表）や脆弱性スキャナ（例：OWASP Dependency-Check、Trivy）などのツールを活用し、使用中のコンポーネントの管理体制を強化することも重要です。
まとめ｜Apache Tomcatを使うなら、今すぐ脆弱性への対処を
今回のCVE-2025-24813は、既に実際に悪用されている深刻な脆弱性であり、放置すれば重大な被害を受ける可能性があります。
「いつ脆弱性が出るか」ではなく「いつ気付けるか・どう対応するか」が問われます。ぜひ本記事をきっかけに、脆弱性管理の体制を見直してみてください。
コメント