Apache Tomcat 11の応答混在の弱点、11.0.27で修正
Apache Tomcat 11.0.0-M25 から 11.0.26 に、大きな応答を非ブロッキングで書き込むと、応答の一部が同じ接続の次のリクエストに混ざる欠陥が見つかりました。外部から認証なしで到達できる環境では、2件目のリクエストの失敗や、1件目の応答内容の漏えいにつながるおそれがあります。修正版は 11.0.27 で、該当する版を使っている場合は更新を計画してください。
急ぎ度: 早めに
CVSS は 9.1 と高く、ネットワーク越しに認証なしで悪用できる設定とされていますが、実際の攻撃での悪用は現時点で明らかになっておらず、修正版が出ているため、計画的な更新を急ぐ段階です。
関係があるか
Tomcat 11.0 系の 11.0.0-M25 から 11.0.26 を使い、Web アプリケーションを提供している組織が対象です。Tomcat を組み込んだアプリケーションや製品でも、同じ版が含まれていれば影響を受けます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Apache Tomcat 11.0 系 | 11.0.0-M25 から 11.0.26 まで | 11.0.27 |
確かめ方
- 1Tomcat をインストールしているサーバーで、
version.sh(Windows ではversion.bat)を実行し、Server version が 11.0.0-M25 から 11.0.26 の範囲に入っていないか確認します。 - 2Spring Boot など Tomcat を組み込んだアプリケーションは、ビルド定義や依存関係の一覧で、組み込まれている Tomcat のライブラリの版を確認します。
- 3市販製品やベンダー提供のアプライアンスの内部で Tomcat が動いている場合は、製品ベンダーの告知で影響の有無を確認します。
- 4Tomcat 11 系以外の版が影響を受けるかどうかは、今回の告知では示されていません。9.0 系や 10.1 系を使っている場合は、Apache Tomcat の公式セキュリティ情報で確認してください。
何が起きたか
Apache Tomcat は Java で作られた Web アプリケーションを動かすためのサーバーソフトウェアです。その 11.0 系の一部の版で、サイズの大きな応答を非ブロッキング方式で書き込むと、応答本文が正しく区切られず、一部が同じ接続で次に届いたリクエストへの応答に混ざってしまう欠陥が見つかりました。
身近な例えでいえば、窓口でAさんに渡すはずの書類の最後の数枚が、次に並んでいたBさんの封筒に入ってしまうようなものです。Bさんの手元では書類が壊れて読めないことが多いはずですが、Aさんの書類の中身がBさんに見えてしまう可能性もあります。
技術的には、バッファの読み取り位置が本来の範囲を下回る「バッファのアンダーリード」(CWE-127)に分類される問題です。公表されている説明では、影響として最も起こりやすいのは2件目のリクエストの失敗で、1件目の応答内容が2件目に漏れる可能性もあるとされています。
攻撃の流れ
-
1
大きな応答
アプリケーションが大きな応答本文を非ブロッキング方式で書き込みます。
-
2
書き込みの分割
Tomcat の処理に欠陥があり、応答本文が正しく扱われず、現在のリクエストと次のリクエストにまたがって分かれます。
-
3
次の応答に混入
同じ接続で次に届いたリクエストの応答に、1件目の応答本文の一部が入り込みます。
-
4
失敗または漏えい
多くの場合は2件目のリクエストが失敗し、場合によっては1件目の応答内容が2件目の受信者に見えてしまいます。
どう悪用されるか
CVSS のベクターでは、ネットワーク経由(AV:N)で、特別な条件が少なく(AC:L)、認証も利用者の操作も不要(PR:N、UI:N)とされています。Tomcat に外部から到達できる環境ほど、リスクが高くなります。
想定される被害は、機密性への高い影響(C:H)と可用性への高い影響(A:H)です。具体的には、応答内容が別のリクエストに漏れることと、後続のリクエストが失敗してサービスの品質が落ちることです。完全性への影響(I:N)はないとされています。
実際の攻撃で悪用されたかどうか、また悪用の見込みを示す指標は、現時点では明らかになっていません。どのアプリケーションの作りで問題が起きやすいかといった細かい条件も、公表されていません。
今すぐやること
-
1
使っている Tomcat の版を確認する
本番、検証、開発の各環境で Tomcat 11.0 系を洗い出し、11.0.0-M25 から 11.0.26 に当たるものを一覧にします。組み込み型のアプリケーションも対象に含めます。
$CATALINA_HOME/bin/version.sh -
2
11.0.27 へ更新する
該当する環境は、修正版の 11.0.27 に更新します。インターネットから直接または リバースプロキシ経由で到達できるサーバーを優先してください。
-
3
更新後の動作を確認する
大きな応答を返す画面や API、ファイルのダウンロードなどで、応答が正しく返ることを確認してから本番に反映します。
-
4
組み込み製品はベンダーの対応を確認する
Tomcat を内部に含む製品やフレームワークを使っている場合は、ベンダーやプロジェクトの告知を確認し、修正版が出たら適用します。
-
5
原因不明のエラーを振り返る
同じ接続の後続リクエストだけが失敗するなど、説明のつかないエラーが出ていないか、アクセスログやアプリケーションログを確認します。ただし、この欠陥の痕跡を判別する方法は公表されていません。
背景
Tomcat は、社内システムや業務 Web サービスの土台として広く使われるサーバーソフトウェアです。単体で動かす場合のほか、Spring Boot のように Tomcat を同梱するフレームワークの内部でも動くため、利用者が Tomcat の存在に気づいていないこともあります。
1本の接続で複数のリクエストと応答をやり取りする仕組みでは、応答の区切りがずれると、別のリクエストへの応答に内容が混ざる問題が起こります。こうした問題はプロトコルの処理を実装する製品全般で繰り返し見つかっており、情報漏えいや障害につながり得ます。そのため、版の管理と更新の運用が欠かせません。
よくある質問
Q.Tomcat 9 や 10 を使っていますが、対応は必要ですか。
Q.認証が必要なシステムなら安全ですか。
Q.更新できるまで、何か暫定対策はありますか。
Q.実際の攻撃で悪用されていますか。
まだ分かっていないこと
- 実際の攻撃での悪用の有無と、悪用される見込みの評価は明らかになっていません。
- どのような設定やアプリケーションの作りで問題が起きやすいかなど、発生条件の詳細は公表されていません。
- 11.0 系以外の Tomcat が影響を受けるかどうかは、告知では示されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Apache Software Foundation | Apache Tomcat |
11.0.0-M25 〜 11.0.26 |
— |
ディストリビューション別の修正状況
各ディストリビューションが公開している、この CVE の修正パッケージ
- Debian DEBIAN-CVE-2026-103119 tomcat11
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Buffer under-read vulnerability in Apache Tomcat meant that a large non-blocking write could result in the response body being split between the current request and the next request received on that connection leading most likely to failure of the second request and possibly leakage of data from the first response to the second.
This issue affects Apache Tomcat: from 11.0.0-M25 through 11.0.26.
Users are recommended to upgrade to version 11.0.27, which fixes the issue.
出典: NIST National Vulnerability Database NVD GitHub Advisory
参照URL
- REDHAT Red Hat
- web lists.apache.org
- web nvd.nist.gov
- web github.com
- web openwall.com