Apache TomcatのApache Commons FileUploadにサービス運用妨害（DoS）の脆弱性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は2月21日、Apache TomcatのApache Commons FileUploadにおけるサービス運用妨害（DoS）の脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。

Apache Tomcat 10.1.0-M1から10.1.4までのバージョン
Apache Tomcat 9.0.0-M1から9.0.70までのバージョン
Apache Tomcat 8.5.0から8.5.84までのバージョン

　Apache Tomcatには、Apache Commons FileUpload 1.5より前のバージョンでは1リクエストでアップロード可能なファイル数を制限していないため、サービス運用妨害（DoS）の脆弱性が存在し、第三者に悪意のあるアップロードが行われ、サービス運用妨害（DoS）攻撃を受ける可能性がある。

　またApache Tomcatのファイルアップロード機能には、Apache Commons FileUploadパッケージのコピーが採用されており、同様にファイル数制限がないため、本脆弱性の影響を受ける可能性がある。

　JVNでは、開発者が提供する情報をもとに、最新版へアップデートするよう呼びかけている。なお本脆弱性は、下記のバージョンで修正されている。

Apache Tomcat 10.1.5およびそれ以降のバージョン
Apache Tomcat 9.0.71およびそれ以降のバージョン
Apache Tomcat 8.5.85およびそれ以降のバージョン