Javaサーブレット仕様のエラーページメカニズムでは、エラーが発生して発生したエラーに対してエラーページが設定されているとき、元のリクエストと応答がエラーページに転送されることが要求されています。これは、リクエストが元のHTTPメソッドでエラーページに表示されることを意味します。エラーページが静的ファイルの場合は、実際のHTTPメソッドに関係なく、GETリクエストを処理しているかのようにファイルのコンテンツが供給されることが予想されます。Apache Tomcatのデフォルトサーブレットでは、このようなことはしませんでした。元のリクエストにもよりますが、 DefaultServlet が書き込みを許可するように設定されている場合には、 カスタムエラーページの置き換えや削除など、静的エラーページの予期せぬ望ましくない結果を招く可能性があります。

Debian 7「Wheezy」では、これらの問題はバージョン7.0.28-4+deb7u14で修正されています。

tomcat7 パッケージをアップグレードすることを推奨します。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-996-1: tomcat7 セキュリティ更新

high Nessus プラグイン ID 100941

バージョン 3.11