■ はじめに

で、Tomcat 脆弱性「CVE-2017-12617」（「CVE-2017-12615」「CVE-2017-12616」も同じ原因）に触れた。
その脆弱性と、それに関わるTomcat の readonlyパラメータについて、調べてみた

■ Tomcat 脆弱性「CVE-2017-12617」

 * readonlyパラメータが「false」に設定され、HTTP PUTメソッドが有効になっている場合

 * 特定の条件下で JSP ファイルをアップロードされる
 * 情報漏えい
 * 遠隔からの任意のコード実行

 * 最新版のTomcatをインストールする

できない場合は...

 * readonlyパラメータを「true」にし、HTTP PUTリクエストを受け付けないよう設定する
  => ただし、CVE-2017-12616（Apache Tomcat 7.0.0 ～ 7.0.80）については
     readonlyパラメータがtrueであっても発現する

 * 「読み込み専用」かどうかを設定。
  => PUT / DELETE といった HTTP コマンドを拒否するかどうかを示す
 * デフォルトは「true」
 * readonlyパラメータを true にすることで、ファイルのアップロードを可能にする

<servlet>
  <init-param>
    <param-name>readonly</param-name>
    <param-value>true</param-value>
   </init-param>
   ... 略 ...