分2017年9月は,かなり深刻な脆弱性が相次いで発見された月でした。Tomcatの脆弱性は,相当深刻なレベルのものと理解しています。Tomcatの脆弱性について解説を行います。7.0.81ですが,これはWindows版Tomcatが稼働している環境で,任意のコードを実行させられる脆弱性とされて「いました⁠」⁠。server.具体的な実行手順は割愛しますが,リモートコード実行のためには,おおまかには以下の手順を踏みます。7.0.81で修正されましたが,その後の第三者検証により,以下のことが明らかになりました。脆弱性の影響を受ける動作プラットフォームは,Windows以外にもLinux,Unixも入るもともと,CVE-2017-12615については,2017年9月20日にJPCERT/CCから注意喚起が出されていましたが,上記のような状況を受けて,2017年9月25日に注意喚起の内容が更新されています。CVE-2017-12617が採番されました。本校執筆時点(2017年9月25日)では,まだ脆弱性修正が行われたTomcatはリリースされていないため,Tomcatそのものの設定もしくはTomcatと連携するWebサーバなどで影響するリクエストを止める必要があります。本脆弱性は,PUTをはじめとする「書き込みを行えるリクエスト」を,リクエスト内容を細工することで通してしまうものです。詳細は後述しますが,バージョンアップ以外で行える対処は,readonlyパラメータをtrueにするか,readonlyパラメータの設定を削除してしまうことです(readonlyパラメータを指定しないときは,true扱いになります⁠)⁠。7のweb.xmlを編集し,readonlyパラメータをfalseにしたもので取得したOPTIONSリクエストに対するレスポンスの内容です。readonlyパラメータをtrueにした状態でも,OPTIONSリクエストに対するレスポンスからは,PUTとDELETEが発行可能なように見えますが,実際にPUTやDELETEを発行しても受け付けられないことは検証済みです。closereadonlyパラメータは,以下のように<servlet>~</servlet>で囲まれた部分に,<init-param>~</init-param>で囲まれたところでパラメータを設定するだけです。以下に,readonlyパラメータをfalseにした記述を含む設定を示します。<load-on-startup>1</load-on-startup></servlet>書き込みを行うことを想起させるのは,PUTとDELETEですが,本脆弱性は,細工されたDELETEリクエストも処理するように仕向けることが可能です。これは,Webアプリケーションサーバ上に配置されたJSPファイルを削除することが可能ということを意味します。PUTを制限することで,アップロードされた任意コードの実行は防げますが,DELETEを制限しないとサーバ上のJSPファイルを削除可能になり,これはこれでDoS攻撃を誘発することになります。残念なことに,本記事を校正している段階でまだ脆弱性が修正されたTomcatがリリースされていません。修正版がリリースされるまではPUTやDELETEなどのリクエストを受け付けないような設定にしておき,修正版がリリースされたらすみやかにTomcatのバージョンアップを行うことをお勧めします。Tomcat著者プロフィール宮本久仁男(みやもとくにお)某SIerに勤務する,どこにでもいる技術者。OSやネットワーク技術に興味を持ち,その延長でセキュリティ技術にも興味を持って,いろんな調査や研究を手がけてます。自分で思考を巡らしたり検証したり,というのももちろん好きで,あれこれやってます。他の人に迷惑はかけない範囲で......ですが。博士(情報学),技術士(情報工学)。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。