「Apache Tomcat」に最大深刻度「CRITICAL」の脆弱性がみつかる…

🗒️AI要約（テスト）：Apache Software Foundation（ASF）は10月20日、JavaベースのWebアプリケーション実行環境「Apache Tomcat」に計8件の脆弱性が見つかったと公表した。対象はTomcat 9・10・11系統で、CVSS 3.1または4.0による評価では、最大深刻度9.1の「CRITICAL」に該当する脆弱性も含まれる。修正方法は、Tomcat 9.0.123・10.1.61・11.0.27へのアップデート。スレでは直前に話題となったPHPの重大な脆弱性に続く問題として、サーバー運用担当者から悲鳴が上がった。

「また脆弱性か」「PHPよりヤバいやつ」「殆どのサーバーが止まるのでは」と不安視する声が出る一方、影響範囲を理解していない投稿も見られた。Apache TomcatをWebサーバーそのものと混同する人に対し、Tomcatは主にJavaのサーブレットやJSPを動かすための実行環境だと説明する書き込みも登場。Apache HTTP ServerとTomcatは別物だという指摘もあり、技術的な話題で盛り上がった。

現場の運用担当者にとっては、脆弱性の発見そのものより、検証やアップデート作業が悩みの種らしい。「週末出勤が確定した」「実害がなくても入れ替えなければならない」と、緊急対応への不満が噴出。単純なGETやPUTなどに機能を限定しているため問題ないとする意見や、REST APIの構成、WebSocketなどの機能を巡る技術談義も交わされた。ただし、機能を限定しているだけで安全性が保証されるわけではなく、実際の影響は利用バージョンや構成によって異なる。

そのほか、Apache関連の過去の脆弱性を思い出す人や、PHPとJavaの両方で立て続けに問題が発覚したことに疲弊する声も。深刻なセキュリティ問題を心配する一方、「トムキャット」を戦闘機のF-14や攻撃ヘリのAH-64と勘違いしたネタ、替え歌、ダジャレも大量に投稿された。システム停止を恐れる利用者と、休日返上で対応する技術者の苦労が入り交じるスレとなった。（ChatGPT）