起動処理を調べてみると/usr/libexec/tomcat/server/usr/libexec/tomcat/preamble/usr/libexec/tomcat/functions/usr/share/java-utils/java-functionsの順で読み込まれていることがわかります。設定に必要となっているようです。起動コマンドは以下のようになることがわかります。start停止コマンドは以下になります。ポリシーが効きません。変更し、そちらを実行するようにします。変更して適用すべきですが、いったんコマンドで直接変更しました。以下のように変更します。tomcat-jsvc.service無事起動できたようです。デプロイして脆弱性回避できるか確認します。Showcaseのトップページが表示されました。拒否されていることが確認できます。tclass=fileコンテナにしたほうが楽なのかコンテナ化をしたほうが楽なのではないかという意見もあるかと思いますので試してみましょう。実行環境自体の環境構築は割愛します。用意してイメージをビルドします。aa24ad860578起動します。ベースであっても、コマンド自体は多数含まれていますので「攻撃者ができることを減らす」という意味ではあまり効果がありません。被害がコンテナ内に限定されるという考えもありますが、データベースにアクセスして内容を攻撃者のサイトにアップロードするといった手法も考えるとコンテナ内だから安心とは一概には言えないと思います。脆弱性をつかれても被害が広がらないようにするためには、脆弱性を悪用して実行できるコマンドを減らすことが重要になると思います。おこなうか、実行可能なコマンド自体を減らしたコンテナを作るか、になるのかと思います。管理者権限昇格といった攻撃にも有効です。セキュリティ以外の要件も考慮したうえで、適切な方式を選択することが重要だなと感じました。タイプ定義すべきものです。サボりましたが悪しからず。ksatoこのサイトの掲載内容は投稿者自身の見解であり、必ずしも当社の立場、戦略ならびに意見を代表するものではありません。本サイトに掲載されている商品またはサービス等の名称は、各社の商標または登録商標です。アークシステムのSNSをいいね!&フォローしよう。@arksystemsJp最新情報をお届けします。この記事が気に入ったらいいね!&シェアお願いします。itB!HatenaPocketLINELINEHoloLensでMR花火大会~見逃した隅田川花火大会を再現してみた~Next社員どうしで熱く語りたいんだ。