Apache Tomcat の欠陥（CVE-2025-24813）— 公表から約30時間で攻撃が始まる

何が起きたか

2025年3月10日、Java で作った Web システムを動かすサーバー Apache Tomcat に、ファイルの一部をアップロードする機能（partial PUT）を悪用される欠陥（CVE-2025-24813）が公表されました。条件がそろうと、情報を見られたり、外から好きなプログラムを動かされたりします。公表から約30時間で攻撃の手順が公開されて悪用が始まり、米 CISA は KEV に加えました。

影響を受けたのは

• Tomcat 11.0.0-M1〜11.0.2、10.1.0-M1〜10.1.34、9.0.0.M1〜9.0.98（修正版は 11.0.3、10.1.35、9.0.99）
• ただし、初期設定で無効の「書き込み」を有効にしているなど、特定の設定のときだけ
• サポートが切れた 8.5 系には修正版が出ませんでした

自社で確認したいこと

• 修正版へ更新する。8.5 系以前は対応版へ上げる
• 業者が作った社内システムに Tomcat が入っていないか、版はいくつか確認する
• 使っていない書き込みの設定を無効のままにする