Apache Tomcatに脆弱性、攻撃者が認証やセキュリティ制御を回避しDoS攻撃を引き起こす恐れ

Apacheは、10件のセキュリティ脆弱性に対処したApache Tomcatバージョン11.0.25をリリースしました。これらの脆弱性には、認証バイパスにつながる可能性のある複数の欠陥や、アクセス制御の回避、サービス拒否(DoS)状態を引き起こすものが含まれます。

SocialSecurity protection

最も深刻な問題は、Tomcatのセキュリティ制約の処理、認証メカニズム、HTTP/2実装、RewriteValveの挙動に関連するものです。

10件の脆弱性はすべてApache Tomcat 11のリリースに影響し、大半はバージョン11.0.0-M1から11.0.24までが対象となります。該当バージョンを運用している組織は、優先的にバージョン11.0.25へのアップグレードを実施すべきです。

Apache Tomcatの脆弱性

特に重要な脆弱性の一つ、CVE-2026-65182は、Tomcatがセキュリティ制約を処理する方法に関連しています。より短いサブパスを対象とする制限の厳しい制約よりも先に、より長いパスの制約が存在する場合、セキュリティ制限が回避される可能性があります。

これにより、宣言型のURLベースアクセスポリシーに依存する保護対象のWebアプリケーションリソースが露出する恐れがあります。

もう一つの重要な問題であるCVE-2026-68569は、DataSourceRealm構成においてプリンシパル検索がフェイルオープン(失敗時に許可)してしまう可能性があるというものです。CLIENT-CERTやSPNEGOを含む特定の認証方式を使用している場合、設定されたDataSourceRealmに存在しないユーザーであっても、Tomcatがそのユーザーを認証済みとして扱ってしまう可能性があります。

Apacheはまた、RewriteValveの[N]フラグ処理におけるオフバイワンエラーであるCVE-2026-65927も修正しました。このエラーにより、書き換え処理が本来1番目のルールから再開されるべきところ、2番目のルールから再開されてしまい、攻撃者がリライトルールによって実装されたアクセス制御を回避できる可能性がありました。

CVE-2026-68763は、ストリームがリセットされた際のバックログ追跡用アロケーションのリークに起因する、重大なHTTP/2脆弱性です。攻撃者はこの欠陥を悪用してリソースを消費させ、サービス拒否状態を引き起こす可能性があります。

さらに、Tomcatに同梱されているWebSocketチャットのサンプルアプリケーションは、CVE-2026-66299の影響を受けます。このサンプルアプリケーションは未配信メッセージ用に無制限のバッファを使用していたため、意図的に応答を遅くしたクライアントによってメモリの継続的な増加を強制され、Tomcatプロセスがメモリを使い果たして異常終了する可能性があります。Apacheのセキュリティガイダンスに従いサンプルWebアプリケーションを削除済みの環境は、影響を受けません。

今回のアップデートでは、中程度の深刻度を持つHTTP/2の問題であるCVE-2026-65637にも対処しています。これはCVE-2026-32990に対する不完全な修正であり、HTTP/2リクエストにauthority値が含まれない場合、厳密なServer Name Indication(SNI)検証を回避できる可能性があります。

CVEの詳細

管理者は、Apache Tomcat 11.0.25へのアップグレード、宣言型セキュリティ制約とRewriteValveルールの見直し、DataSourceRealm構成における認証挙動の検証を実施することが推奨されます。

SocialSecurity protection

また、使用していないサンプルアプリケーションを削除し、Unixドメインソケット環境へのローカルアクセスを制限するとともに、HTTP/2が有効なインスタンスで異常なストリームリセットの動きがないか監視することも推奨されます。

調査の遅れによるインシデントを防止しましょう。1万5,000のSOCから得られる脅威インテリジェンスでTier 1を強化: TI LookupをSOCに統合する