JP Vendor Status Notes（JVN）は3月14日，オープンソースのJavaサーブレット・エンジン「Apache Jakarta Tomcat 3.x」に見つかったセキュリティ・ホールを公表した。Tomcat 3.12以前は，細工が施されたデータを送信されると正常に動作しなくなる恐れがある。Tomcat 4.x以降は影響を受けない。

　今回のセキュリティ・ホールを発見したのは，HIRT（Hitachi Incident Response Team）。HIRTでは，情報セキュリティ早期警戒パートナーシップに基づき情報処理推進機構（IPA）へ今回のセキュリティ・ホールを報告した。そして，JPCERTコーディネーションセンター （JPCERT/CC）が米CERT/CCやベンダーとの調整を行ったという。

　Tomcatは単体でもWebサーバーとして動作するが，Apache Web Serverと連携させて利用する場合が多い。連携には，AJP12（Apache JServ Protocl 1.2）と呼ばれるプロトコル（通常はTCPポート8007番を使用）を利用する。このAJP12を処理する部分に，今回セキュリティ・ホールが見つかった。

　具体的には，AJP12を使って特定のパターンで繰り返しアクセスされると，Tomcatのパフォーマンスが徐々に低下し，最終的にはT反応しなくなるという。つまり，DoS（サービス妨害）攻撃を受ける恐れがある。Tomcatを再起動すれば元の状態に戻る。なお，サーバー上で任意のプログラムを実行されるようなことはない。

　JVNの情報では，Tomcat 3.12以前に今回のセキュリティ・ホールが確認されているという。また，Tomcat 3.xを利用している製品も影響も受ける。例えば日立では，同社製品「Cosminexus Server Component Container for Java」が影響を受けることを明らかにしている。

　対策は，Tomcat 4.x以上にバージョンアップすること。JVNの情報によると，Apache Software Foundationは今回のセキュリティ・ホールを確認しているものの，3月14日時点では，3.xの修正バージョンを配布する予定はないという。

　また，インターネットとの境界に設置したファイアウオールやルーターなどで，AJP12の通信をフィルタリングすることも対策となる。加えて，WebサーバーとTomcat間の通信にAJP12以外のプロトコルを使用することも対策になるという。

◎参考資料
◆JVN#DD18AD07　Tomcat におけるサービス拒否の脆弱性
◆JVN#DD18AD07　Tomcat におけるサービス拒否の脆弱性（PDFファイル）
◆Cosminexus Server Component Container for Java が無応答になる問題（日立製作所）

（勝村　幸博＝IT Pro）