概要
Apache Tomcat において、同一の拡張子（extension）に対して複数の HTTP メソッド制約を定義している場合、認可チェックが意図通りに機能しない問題があります。攻撃者はこの不正な認可処理を悪用して、保護されているリソースへアクセスできる可能性があります。
Tomcat 7.x から 11.x まで広い範囲が影響を受けており、EOL バージョン（7.x / 8.5.x）を使用している環境では特に注意が必要です。
CVSS ベクトル
| 項目 | 値 |
|---|---|
| Attack Vector | Network |
| Attack Complexity | Low |
| Privileges Required | None |
| User Interaction | None |
| Base Score | 9.1 (Critical) |
影響を受けるソフトウェア
| 製品 | 影響バージョン |
|---|---|
| Apache Tomcat 11.x | 11.0.0-M1 〜 11.0.21 |
| Apache Tomcat 10.1.x | 10.1.0-M1 〜 10.1.54 |
| Apache Tomcat 9.x | 9.0.0.M1 〜 9.0.117 |
| Apache Tomcat 8.5.x | 8.5.0 〜 8.5.100 |
| Apache Tomcat 7.x | 7.0.0 〜 7.0.109 |
修正バージョンと回避策
以下のバージョンへのアップグレードが推奨されます：
- Tomcat 11.x: 11.0.22 以降
- Tomcat 10.1.x: 10.1.55 以降
- Tomcat 9.x: 9.0.118 以降
- Tomcat 8.5.x / 7.x: サポート終了バージョンのため、9.0.118 以降への移行を推奨
回避策：同一拡張子に対する複数の HTTP メソッド制約の定義を見直し、制約を一つにまとめることで影響を軽減できる可能性があります。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。