このtomcatのバージョン9.0.10への更新では、次の問題が修正されます：

修正されたセキュリティ問題：

  - CVE-2018-1336：UTF-8デコーダーでの補助文字の不適切なオーバーフローの発生がデコーダーでの無限ループにつながり、サービス拒否を引き起こす可能性がありました（bsc#1102400）。

  - CVE-2018-8014：安全でないデフォルトのCORSフィルター設定を修正します（bsc#1093697）。

  - CVE-2018-8034：WebSocketクライアントでTLSを使用する際、ホスト名検証がありませんでした。現在はデフォルトで有効になっています（bsc#1102379）。

  - CVE-2018-8037：コンテナが非同期タイムアウトをトリガーすると同時に、アプリケーションによって非同期リクエストが完了した場合に、競合状態が発生し、ユーザーに別のユーザーの応答が表示される可能性がありました。NIOとNIO2のコネクタには他にも問題があり、asyncリクエストがアプリケーションによって完了され、同時にコンテナによってタイムアウトされたとき、接続の切断を正しく追跡しませんでした。これにより、あるユーザーに、別のユーザー宛ての応答が表示される可能性もありました（bsc#1102410）。

バグ修正：

  - 更新中に顧客の構成を上書きしないようにします（bsc#1067720）

  - JARファイルへのOSGiメタデータの追加を無効にします

  - http://tomcat.apache.org/tomcat-9.0-doc/changelog.html#Tomcat_9.0.10_(marktで変更ログを参照してください

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

検出

openSUSEセキュリティ更新プログラム：tomcat（openSUSE-2019-770）

critical Nessus プラグイン ID 123330

変更ログが見つかりません