Debian DSA-5265-1 : tomcat9 - セキュリティ更新
high Nessus プラグイン ID 166706
Language:
概要
リモートの Debian ホストに 1 つまたは複数のセキュリティ関連の更新プログラムがありません。説明
リモートの Debian 11 ホストには、dsa-5265 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- Apache Tomcat バージョン 10.0.0-M1～10.0.0-M4、9.0.0.M1～9.0.34、8.5.0～8.5.54、および 7.0.0～7.0.103 を使用するときには、a) 攻撃者がサーバー上のファイルのコンテンツと名前を制御できる場合、b) サーバーが FileStore で PersistenceManager を使用するように構成されている場合、c) PersistenceManager が、sessionAttributeValueClassNameFilter=null (SecurityManager が使用されていない場合のデフォルト) を使用して構成されているか、または攻撃者が指定したオブジェクトを逆シリアル化できる十分に緩いフィルターを使用して構成されている場合、および d) 攻撃者が、FileStore によって使用されるストレージの場所から攻撃者の管理下にあるファイルまでの相対ファイルパスを把握している場合に、攻撃者が特別に細工したリクエストを使用して、管理下のファイルの逆シリアル化によってリモートコード実行をトリガーできます。攻撃が成功するには、a) ～d) のすべての条件が true である必要があることに注意してください。(CVE-2020-9484)
- Tomcat 10 では、ブロッキング読み取りおよび書き込みが簡素化されて実装され、Tomcat 9.0.47 以降にバックポートされましたが、クライアント接続を引き起こす可能性のある長期にわたる Apache Tomcat 10.1.0 ～ 10.1.0-M12、10.0.0-M1 ～ 10.0.18、9.0.0-M1 ＝ 9.0.60 および 8.5.0 ～ 8.5.77 の (ただしトリガーするのは非常に難しい) 平行性バグを漏洩し、Http11Processor インスタンスを共有します。その結果、応答または応答の一部が間違ったクライアントによって受信されます。(CVE-2021-43980)
- バグ CVE-2020-9484の修正により、Apache Tomcat 10.1.0-M1 から 10.1.0-M8 まで、10.0.0-M5 から 10.0.14まで、9.0.35から 9.0.56および 8.5.55から 8.5.73までに対して、チェック時間、使用時間の脆弱性がもたらされ、ローカルの攻撃者が、Tomcat プロセスが使用しているユーザーの権限でアクションを実行する可能性があります。この問題は、Tomcat が FileStore を使用してセッションを持続するように構成されている場合にのみ悪用可能です。(CVE-2022-23181)
- EncryptInterceptor の Apache Tomcat 10.1.0-M1 から 10.1.0-M14、10.0.0-M1 から 10.0.20、9.0.13から 9.0.62 および 8.5.38 から 8.5.78 のドキュメントでは、Tomcat のクラスター化を信頼できないネットワーク上で有効にできると誤って記述されていました。これは誤りでした。EncryptInterceptor は機密性と整合性の保護を提供しますが、信頼できないネットワークでの実行に関連するすべてのリスク、特に DoS のリスクに対して保護しません。(CVE-2022-29885)
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。
ソリューション
tomcat9 パッケージをアップグレードしてください。安定版 (stable) ディストリビューション (bullseye) では、これらの問題はバージョン 9.0.43-2~deb11u4 で修正されています。
参考資料
https://security-tracker.debian.org/tracker/source-package/tomcat9
https://www.debian.org/security/2022/dsa-5265
https://security-tracker.debian.org/tracker/CVE-2020-9484
https://security-tracker.debian.org/tracker/CVE-2021-43980
https://security-tracker.debian.org/tracker/CVE-2022-23181
プラグインの詳細
深刻度: High
ID: 166706
ファイル名: debian_DSA-5265.nasl
バージョン: 1.6
タイプ: local
エージェント: unix
ファミリー: Debian Local Security Checks
公開日: 2022/10/30
更新日: 2023/10/6
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Medium
基本値: 4.4
現状値: 3.6
ベクトル: CVSS2#AV:L/AC:M/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2020-9484
CVSS v3
リスクファクター: High
基本値: 7
現状値: 6.5
ベクトル: CVSS:3.0/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C
CVSS スコアのソース: CVE-2022-23181
脆弱性情報
CPE: p-cpe:/a:debian:debian_linux:libtomcat9-embed-java, p-cpe:/a:debian:debian_linux:libtomcat9-java, p-cpe:/a:debian:debian_linux:tomcat9, p-cpe:/a:debian:debian_linux:tomcat9-admin, p-cpe:/a:debian:debian_linux:tomcat9-common, p-cpe:/a:debian:debian_linux:tomcat9-docs, p-cpe:/a:debian:debian_linux:tomcat9-examples, p-cpe:/a:debian:debian_linux:tomcat9-user, cpe:/o:debian:debian_linux:11.0
必要な KB アイテム: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2022/10/29
脆弱性公開日: 2020/5/20
参照情報
CVE: CVE-2020-9484, CVE-2021-43980, CVE-2022-23181, CVE-2022-29885
IAVA: 2020-A-0225-S, 2022-A-0222-S