Undertow の脆弱性 CVE-2025-12543 が FIX：Java アプリにユーザー・セッション乗っ取りの恐れ

Undertow Vulnerability Lets Hackers Take Over User Sessions in Java Apps

2026/01/09 gbhackers — Undertow HTTP サーバ・コアのバージョン 2.4.0.Alpha1 以下に発見されたのは、深刻なセキュリティ脆弱性 CVE-2025-12543 である。このコンポーネントは WildFly／JBoss EAP／多数の Java アプリケーションで広く使用されている重要なソフトウェア基盤だ。この脆弱性を悪用した攻撃者は、ユーザー・セッションの乗っ取り／キャッシュ・ポイズニング／不正なネットワーク・スキャンを実行できる。

脆弱性の概要

この脆弱性は、Undertow が受信する HTTP リクエストの Host ヘッダーを適切に検証できないことに起因する。不正な形式または悪意の形式の Host ヘッダーが拒否されることなく処理されるため、複数の攻撃ベクターが生じる。また、攻撃者は認証を必要とせずに、リモートから脆弱性を悪用できるが、最大限の影響を得るには限定的なユーザー操作が必要となる。

AttributeDetails
CVE IDCVE-2025-12543
CVSS Score9.6 (Critical)
Attack VectorNetwork

この脆弱性により、複数の危険な攻撃手法が実行可能となる。特に深刻なのはセッション・ハイジャックである。攻撃者はユーザー認証情報を窃取し、追加アカウントや内部システムへの不正アクセスを可能にする。

また、キャッシュ・ポイズニングにより悪意のコンテンツへとユーザーをリダイレクトすることが可能であり、また、内部ネットワーク・スキャンにより、機密性の高いインフラの詳細が露出する可能性がある。

このような広範なリスクを考慮した Red Hat は、認証を必要とせずにリモートから悪用可能である点を理由に、脆弱性 CVE-2025-12543 の深刻度を Important に分類している。

この脆弱性は不適切な入力検証に起因し、機密性および完全性に対する深刻な侵害を引き起こす。主な影響には、メモリ・アクセス／任意コード実行／リソース消費が含まれる。

これらの脅威が影響を及ぼす範囲は、undertow-core 2.4.0.Alpha1 以下のバージョンを使用する関連コンポーネントであり、そこには Red Hat JBoss Enterprise Application Platform 8.1 が含まれる。

2026年1月8日に Red Hat は、セキュリティ・エラータ RHSA-2026:0386／RHSA-2026:0383 を発行し、undertow-core および関連パッケージ (eap8-undertow／eap8-wildfly／関連する依存関係を含む) に対する修正を提供した。影響を受ける製品を使用する組織に強く推奨されるのは、これらのアップデートを直ちに適用することである。

現時点では、Red Hat の製品セキュリティ基準を利便性と安定性で満たすだけの、代替の緩和策は存在しない。

WildFly や JBoss EAP といった Java アプリの基盤となる Undertow で、深刻な脆弱性が発見されました。この問題の原因は、 Undertow がリクエストを受信する際の Host ヘッダーに対する不適切な検証にあります。具体的には、 HTTP リクエストに含まれる Host ヘッダーの内容を正しくチェックせずに処理してしまうため、攻撃者がこのヘッダーを悪意のある内容に書き換えることで、本来とは異なるサーバへユーザーを誘導したり、システムのメモリへ不正にアクセスしたりすることが可能になっていました。ご利用のチームは、ご注意ください。よろしければ、Jave での検索結果も、ご参照ください。