OCSPレスポンダーを使用しているとき、Tomcat Nativeは無効な応答を適切に処理しませんでした。これにより、失効したクライアント証明書が不適切に識別される可能性がありました。このため、相互TLSを使用する際に、ユーザーが失効した証明書で認証することが可能でした。OCSPチェックを使用しないユーザーは、この脆弱性の影響を受けません。

Debian 8「Jessie」では、これらの問題はバージョン1.1.32~repack-2+deb8u2で修正されました。

tomcat-nativeパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-1475-1: tomcat-nativeのセキュリティ更新

high Nessus プラグイン ID 112065

変更ログが見つかりません