JPCERTコーディネーションセンター（Japan Computer Emergency Response Team Coordination Center：JPCERT/CC）は12月19日、「Japan Vulnerability Notes（JVN）」に掲載した記事「JVNVU#98104709: Apache Tomcat の複数の脆弱性に対するアップデート」において、Apache Tomcatの脆弱性について伝えた。

脆弱性（CVE-2019-12418）の影響を受けるプロダクトおよびバージョンは次のとおり。

  • Apache Tomcat 9.0.0.M1から9.0.28までのバージョン
  • Apache Tomcat 8.5.0 から8.5.47までのバージョン
  • Apache Tomcat 7.0.0 から7.0.97までのバージョン

脆弱性（CVE-2019-17563）の影響を受けるプロダクトおよびバージョンは次のとおり。

  • Apache Tomcat 9.0.0.M1から9.0.29までのバージョン
  • Apache Tomcat 8.5.0から8.5.49までのバージョン
  • Apache Tomcat 7.0.0から7.0.98までのバージョン

CVE-2019-12418は情報漏洩、CVE-2019-17563はセッション固定攻撃につながる脆弱性とされており、これら脆弱性を悪用されると、Tomcatインスタンスの制御権が乗っ取られたり、FORM認証されたユーザーの権限で任意の操作が行われたりする危険性があるとされており、注意が必要。

  • Japan Vulnerability Notes

    Japan Vulnerability Notes

一覧に使用中のソフトウェアの名前が含まれている場合は、プロジェクトのサイトで最新の情報をチェックするとともに、修正されたバージョンへアップデートするなど迅速に対処することが推奨される。