Java（JVM・Kotlin）の脆弱性情報まとめ

Javaの本体（JDK）と、Javaのアプリでよく使われるサーバー・ライブラリのうち、米CISAの悪用確認の一覧（KEV）に載ったもの、深刻度が緊急のものです。KEVの追加日は米国の日付で、他の日付は日本時間です。[1]

Java本体の件は、10月20日の定例の更新、21日の緊急の更新、24日の追加の更新と3回続きました。OpenJDKは「この数日で更新した場合も」もう一度対応するよう案内しています。2件ともKEVには載っておらず、CVEの記録のCISAの評価でも悪用は「none」です。[4][12]

Javaは配布元（Oracle、Eclipse Temurin、Amazon Corretto、Microsoftなど）ごとに更新の期限が違います。使っている配布元の期限で判断します。

Oracle JDK 21を無償のライセンス（NFTC）で使ってきた場合、Oracleは10月以降の更新を別のライセンス（OTN）で出すとし、無償で続けるなら25以降へ上げるよう案内しています。[13][14][15][16]

実行環境として、Tomcat 9.0系は2027年3月31日でサポートが終わります。Spring Bootの無償サポートは3.5系が2026年6月30日で終わり、4.0系は2026年12月31日、4.1系は2027年7月31日までです。Kotlin/JVMのアプリも同じJDKの上で動くので、表の期限がそのまま当てはまります。[17][18]

まず、何がどの経路で入っているかを表示します。Mavenにはlockファイルが無いので、ビルドの道具に解決させて確かめます。

mvn dependency:tree -Dincludes=org.apache.tomcat.embed
./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath

既知の脆弱性との照合は、OWASP Dependency-Checkか、GoogleのOSV-Scannerを使います。Dependency-CheckはNVDのデータを取り込むため、NVDのAPIキーを使うよう案内されています。OSV-Scannerはpom.xmlから間接的な依存まで解決し、gradle.lockfileも読みます。[19][20]

mvn org.owasp:dependency-check-maven:check
./gradlew dependencyCheckAnalyze   # org.owasp.dependencycheck プラグイン
osv-scanner scan source -r .

JDKの証明書の件は、OpenJDKが配ったCheckCerts.javaで、その実行環境が対象かを確かめられます（JDK 8はjavacで先にコンパイルします）。[4]

java -XshowSettings:properties -version 2>&1 | grep -E 'java\.(vendor|runtime\.version)'
curl -O https://cr.openjdk.org/~mr/CheckCerts.java
java CheckCerts.java

1. 実際に動いている成果物を見る：Spring Bootの実行可能なjarは、依存のjarをBOOT-INF/lib/に含みます。jar tf app.jar | grep BOOT-INF/lib/で、ビルドの設定ではなく配った物の中の版を確かめます。shadeで1つにまとめたjarは、ファイル名から版が読めないので、照合の道具に掛けます。
2. BOMが決める版を疑う：Spring BootのBOMは依存の版を固定します。最後の無償版の3.5.16はSpring Security 6.5.11とTomcat 10.1.55を指定していて、どちらも上の表の対象です。上のライブラリを上げても直らない場合は、tomcat.versionなどのプロパティで直接指定します。[21]
3. 本番のJDKを見る：コンテナでは、イメージの中のJDKが使われます。動いているプロセスはjcmd <PID> VM.versionで版を表示できます。証明書の件では、DebianやUbuntuのOSのJDKは、ca-certificatesを上げてもJavaの証明書の保管ファイルが直らないため、OpenJDKは保管ファイルの作り直しを案内しています。[4]
4. 配布元の番号で判断する：同じ修正でも、Oracleの対象の版が21.0.13.0.2、Correttoの修正版が21.0.13.0.11のように、番号の付け方が違います。番号の大小ではなく、配布元のリリースノートに該当のCVEがあるかで判断します。[22]
5. KotlinのJSの依存を分ける：Kotlin MultiplatformでJSを出力している場合、npmの依存はkotlin-js-store/yarn.lockにあり、Mavenの道具では見えません。JavaScriptの道具で確かめます。[23]