6.0.45より前の6.x、7.0.68より前の7.x、8.0.31より前の8.x、9.0.0.M2より前の9.xのApache Tomcatにおけるセッション維持の実装は、セッション属性を不適切に処理します。これにより、認証されたリモートのユーザーが、SecurityManagerの意図された制限をバイパスしたり、セッションに細工されたオブジェクトを配置するWebアプリケーションを介して、権限のあるコンテキスト内で任意のコードを実行したりする可能性があります。（CVE-2016-0714）影響：リモートの認証されたユーザーがこの脆弱性を悪用し、セッションに細工されたオブジェクトを配置するWebアプリケーションを介して、意図されたセキュリティマネージャーの制限をバイパスしたり、権限のあるコンテキストで任意のコードを実行したりする可能性があります。BIG-IP/Enterprise Manager BIG-IPとEnterprise Managerのシステムは、影響を受ける機能を使用していません。脆弱なソフトウェアが存在しますが、このソフトウェアはこの脆弱性を発生させる方法では使用されていません。Traffix SDC 攻撃者がシステムのローカルネットワークにアクセスできる場合、この脆弱性が悪用される可能性があります。Tomcatサービスは、内部ネットワークからのみアクセスできます。

検出

F5 Networks BIG-IP：Apache Tomcat 6.xの脆弱性（K58084500）

high Nessus プラグイン ID 107137

変更ログが見つかりません