# オープニング #ママ友パパ友との付き合い方 どうもー セキュリティジョッキーの松野です。 こちらのセキュリティ企業を立ち上げて、300人以上のセキュリティ人材を排出した屈指のセキュリティ企業家である私、松野が 東京都関連のセキュリティ組織で働きつつ、サイバーセキュリティの最新ニュースについて解説しております。 ということでね、今日はママともパパともとの付き合い方に関する話なんですけども、 パパでもなければママでもないというところがあるわけなんですけども、ジョッキー関連のお仕事をさせていただいているとですね、 ある意味、馬との付き合いが日常的に発生するわけで、そういう意味ではですね、馬のパパという解釈があるかなと、 その観点でお話しさせていただくと、馬に関する共通の話題というかですね、悩みというかですね、これを話すとですね、 パパ同士っていうんですかね、パパとも同士ですごく盛り上がったりしています。 例えばですね、この馬、すごく普段はですね、素直なんだけどレースに行くとですね、急にやんちゃになってと言うとわかるみたいな感じでですね、 共感いただいたりとかいうことがあります。それでですね、ジョッキー界隈同士でですね、盛り上がることがあるということなんですけれども、 ママともパパとも同士でですね、やはり共通の話題としてお子さんのことでですね、 悩みだったりとか、いろいろ打ち明けてみるとですね、何か共感することがあって、それをきっかけにですね、いい関係が築けるんじゃないかというふうに思っています。 はい、ということで今回は、アパッチとムキャットに発見された脆弱性に関するニュースを取り上げております。 この放送を通じてリスナーの皆さんには、これらの脆弱性の詳細や影響、そして対策について理解を深めていただければと思います。 それではどうぞ! # Apache Tomcat に複数の脆弱性 アパッチ・トムキャットに複数の脆弱性 IPA 独立行政法人情報処理推進機構 および一般社団法人JPサートコーディネーションセンターは、5月8日 アパッチ・トムキャットにおける複数の脆弱性について、JVNで発表しました。 こちらの記事を簡単に解説お願いできますでしょうか。 はい。アパッチ・トムキャットは、Webアプリケーションを実行するためのオープンソースのサーバーソフトウェアです。 最近IPAとJPサートCCが発表した内容によると、 アパッチ・トムキャットの特定のバージョンに複数の脆弱性が存在することが確認されました。 具体的には、CVE番号2025-31650とCVE番号2025-31651という2つの脆弱性が挙げられています。 CVE-2025-31650は、不正なHTTPプライオリティヘッダのエラー処理が不適切であるため、 メモリリークが発生し、最終的には大量の採掘されたリクエストを処理することから、 サービス運用妨害状態、いわゆるドス状態を引き起こす可能性があります。 一方、CVE-2025-31651は、特定のリライトルール設定が採掘されたリクエストによってバイパスされるという問題です。 これにより、セキュリティ制約が無効化される可能性があります。 これらの脆弱性は、Apache Tomcatの最新版で修正されているため、 開発者は速やかにアップデートを行うことが推奨されています。 この記事で使用されているApache Tomcatという技術について、改めて教えていただけますか? はい。Apache Tomcatは、Javaで書かれたウェブアプリケーションを実行するためのサーバーソフトウェアです。 これは、Java Server Pages、JSPをサポートしており、開発者が動的なウェブコンテンツを作成するために、広く利用されています。 Tomcatはオープンソースであることから、多くの企業や開発者が利用しているため、 セキュリティの脆弱性が発見されると、その影響は広範囲に及ぶ可能性があります。 特に、ウェブアプリケーションの基盤として使用されることが多いため、セキュリティ対策は非常に重要です。 ニュース記事の背景情報を考慮して、これらの脆弱性が発見された経緯について、詳しく教えていただけますか? はい。脆弱性が発見される背景には、常に新しい攻撃手法や技術が進化していることがあります。 Apache Tomcatは広く使用されているため、攻撃者はその脆弱性を狙うことが多いです。 特に、CVE番号2025-31650のようなメモリリークの問題は、サーバーのリソースを消費し、最終的にはサービスを停止させる可能性があります。 また、CVE番号2025-31651のように、セキュリティ制約をバイパスされることは、攻撃者にとって非常に魅力的な手段です。 これらの脆弱性は、開発者やセキュリティ専門家による定期的な監査やテストを通じて発見され、報告されることが一般的です。 これにより、迅速な対応が求められます。 記事で取り上げられている問題に対して、具体的な対策や予防策について、詳しく教えていただけますか? はい。まず、最も重要な対策は、Apache Tomcatを最新のバージョンにアップデートすることです。 具体的には、今回の脆弱性に対する修正が含まれているApache Tomcat 11.0.6、10.1.40、9.0.104以降のバージョンに移行することが推奨されます。 また、セキュリティ設定を見直し、リライトルールやHTTPヘッダーの処理を適切に行うことも重要です。 さらに、定期的なセキュリティ監査や脆弱性スキャンを実施し、潜在的なリスクを早期に発見することが効果的です。 これにより、攻撃者が悪用する前に、対策を講じることができます。 なるほど。今回の放送を通じて、Apache Tomcatに関する脆弱性について学ぶことができました。 特に、脆弱性の影響や具体的な対策についての理解が深まりました。 また一つ勉強になりました。 # エンディングと今日のまとめ はい、ということでいかがでしたでしょうか。 Apacheといえばですね、ウェブサーバーというのが浮かんでくるわけなんですけども、 TOMCAT含めてですね、過去にもたくさんのですね、脆弱性が発見されております。 で、ちょっと昔話になってしまうんですけども、もう20年以上前ですね、24、5年前になりますかね。 僕自身がですね、学生だった頃なんですけれども、当時のですね、いわゆる観光庁で使われている ウェブサーバーのですね、バージョン一覧みたいなものがですね、世に出回ったことがあります。 これはですね、今考えればなんてことはないというかですね、いわゆるバナー情報と呼ばれるような、 通常の皆さんがブラウザでアクセスする場合も、実際ですね、そのデータとして取得しているんですけども、 ウェブサーバー自体がですね、その自分が使っているソフトウェアのバージョンを返してくるということがあったりします。 最近はですね、それが脆弱性につながるということで、隠しているですね、設定をしているウェブサーバーが非常に多いわけなんですけども、 当時はそういったことがですね、またセキュリティDFNもですね、一般的じゃなかったかもしれません。 そういった観光庁がですね、そのデフォルト設定で運用されていることで、すべてのバージョンが露出していたと。 中には非常にですね、Apacheの1.0点みたいな、今では考えられないんですけども、そういったバージョンを使っているような観光庁もあったということも記憶しています。 そういった懐かしい話もあったわけなんですけども、ウェブサーバーといえばApacheということで、なかなかですね、自前でウェブサーバーを立てることも最近なくなってきたわけなんですけども、 もしですね、ご自身で運用されている方がいらっしゃいましたら、再度ですね、そのバージョンと脆弱性情報を付け合わせてみてはいかがでしょうか。 今日の10分のセキュリティラジオは、月曜から金曜の朝7時15分に配信しております。 そして、わからないことは今すぐ聞こう。何でも聞けるセキュラジー製作室は、水曜夜8時から絶賛生放送中です。 さらに土曜日は、セキュラジーAI認証のまとめチャンネルを放送しております。 ぜひこちらも聞いてみてください。 それではまた、次回のレギュラー配信でお会いしましょう。 セキュリティジョッキーの松野でした。See you!