Apache Tomcat の EncryptInterceptor 迂回によるクラスタ通信の平文露出（KEV 収載）

High（CVSS 7.5）に分類されるApache Tomcat 11.0.20 / 10.1.53 / 9.0.116の脆弱性です。Apache Tomcat のクラスタ通信を暗号化する `EncryptInterceptor` を迂回できる欠陥である。NVD の説明は「Missing Encryption of Sensitive Data vulnerability in Apache Tomcat due to the fix for CVE-2026-29146 allowing the bypass of the EncryptInterceptor.」で、**別の脆弱性（CVE-2026-29146）を直した修正そのものが原因**だと明記されている。 前提を先に整理する。Tomcat は複数台で構成するとき、セッション情報を各ノードへ複製する。この複製は Tribes と呼ばれるクラスタ通信の仕組みが担い、既定では平文で流れる。それを暗号化するために用意されているのが `EncryptInterceptor` で、`server.xml` の `<Cluster>` 配下に明示的に設定して使う。つまり **`EncryptInterceptor` を設定していない環境は、そもそも最初から平文**であり、本件は「暗号化していたつもりが暗号化されていなかった」環境の話である。 CVSS は 7.5 HIGH（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）で、評価元は CISA-ADP と Red Hat である。ベクタを読むと、ネットワーク経由（AV:N）・条件容易（AC:L）・権限不要（PR:N）・利用者の操作不要（UI:N）で、**影響は機密性のみに高く（C:H）、完全性と可用性には影響しない（I:N / A:N）**。読まれるが書き換えられはしない、という形である。 それで何が漏れるのかというと、複製されるセッションの中身である。多くのアプリケーションはセッションにログイン状態、ユーザー識別子、権限、画面の入力途中の値などを載せる。これを読まれると、セッションの乗っ取りに直結しうる。**書き換えられなくても十分に重い**のはこのためである。 CISA KEV には 2026年8月4日に追加され、**是正期限は 2026年8月7日**である。KEV に載っているということは、実際に悪用が観測されているという意味である。ランサムウェアでの利用は「Unknown（不明）」とされている。 影響を受けるのは **11.0.20 / 10.1.53 / 9.0.116** で、**修正版はそれぞれ 11.0.21 / 10.1.54 / 9.0.117** である。CVE-2026-29146 の修正が入った版だけが対象という構造なので、**古い版のほうが対象外という逆転が起きる**点に注意が要る。

最初に確認するのは、**クラスタ構成を使っているかどうか**である。`server.xml` に `<Cluster>` 要素が無い単体構成の Tomcat は、本件の対象外である。多くの環境はここで終わる。 次に、`<Cluster>` がある場合に `EncryptInterceptor` を設定しているかを見る。`server.xml` で `org.apache.catalina.tribes.group.interceptors.EncryptInterceptor` を検索する。設定していなければ、本件による「新たな」露出は無い（ただしクラスタ通信が平文であるという別の問題は残るので、そちらは本件と切り離して対処する）。 版の確認は、Tomcat の `bin/version.sh`（Windows は `version.bat`）を実行するか、`catalina.out` の起動ログにある `Server version` を見る。対象は **11.0.20 / 10.1.53 / 9.0.116 ちょうど**である。11.0.19 以前や 10.1.52 以前は、CVE-2026-29146 の修正が入っていないため本件の対象ではない。 恒久対応は、**11.0.21 / 10.1.54 / 9.0.117 以降への更新**である。一次情報は Apache のメーリングリスト（https://lists.apache.org/thread/9510k5p5zdvt9pkkgtyp85mvwxo2qrly）で、Red Hat 系ディストリビューションでは RHSA-2026:36787 ほかの一連のアドバイザリが対応する。ディストリビューションのパッケージで導入している場合は、そちらの更新で入る。 更新までの緩和策は、**クラスタ通信の経路をネットワーク層で守ること**である。Tribes の通信は既定で 4000 番台のポートと、メンバー検出のマルチキャスト（既定 45564/UDP）を使う。これらをノード間だけに閉じた専用のサブネットやセキュリティグループへ限定し、それ以外からの到達を落とす。アプリケーション層の暗号化が当てにならない状態なので、経路そのものを他者が観測できない位置に置く、という考え方になる。IPsec や VPN でノード間を包むのも有効である。 侵害の有無は、正直なところ**通信の傍受は痕跡を残しにくい**。したがって、見るべきは傍受そのものではなく、その結果として起きることである。具体的には、同一セッション ID が複数の送信元 IP から使われていないか、通常と異なる地域・ネットワークからのアクセスで既存セッションが継続していないか、を Web アクセスログとアプリケーションの認証ログで確認する。あわせて、クラスタのサブネットに本来居ないはずのホストが通信していないかを、フローログやスイッチの ARP テーブルで確認する。 優先順は、**クラスタ構成かつ `EncryptInterceptor` を設定していて、かつ対象版に一致する環境**が最優先である。ここは是正期限（2026年8月7日）を守る対象になる。それ以外は対象外なので、慌てて更新する必要はない。**まず「自分は対象か」を切り分けることが、この CVE では最も効率がよい。**

Apache Tomcat 11.0.20 / 10.1.53 / 9.0.116 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-34486）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/08/07 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）と「Forensics Triage Requirements」に従うこと。クラウドサービスについては BOD 26-04 の該当ガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。資産のインターネット露出の評価と BOD 26-04 のパッチ適用ガイドラインの遵守は各利用者の責任とされている。