RHEL 8 : tomcat (パッチ未適用の脆弱性)
high Nessus プラグイン ID 202296
Language:
概要
リモート Red Hat 8 ホストは、修正されていない複数の脆弱性の影響を受けます。説明
リモートの Redhat Enterprise Linux 8 ホストには、1 つ以上のパッケージがインストールされており、これらのパッケージは複数の脆弱性の影響を受けます。これらの脆弱性はベンダーによって認識されていますが、パッチが適用されません。- tomcat: FORM 認証時のセッション固定 (CVE-2019-17563)
- tomcat: JsonErrorReportValve インジェクション (CVE-2022-45143)
- Apache Tomcat 9.0.0.M1 ～ 9.0.0.17、8.5.0 ～ 8.5.39、および 7.0.0 ～ 7.0.93 の SSI printenv コマンドは、ユーザーが提供したデータをエスケープせずにエコーするため、XSS に対して脆弱です。SSI は、デフォルトでは無効です。printenvコマンドはデバッグ用であり、実稼働中のWebサイトに存在することはほとんどありません。
(CVE-2019-0221)
注意: Nessus はこれらの問題をテストしておらず、代わりにパッケージがインストールされているというパッケージマネージャーのレポートに依存しています。
ソリューション
ベンダーはこの脆弱性を認識していますが、解決策は提供されていません。修正ガイダンスについては、ベンダーにお問い合わせください。プラグインの詳細
深刻度: High
ID: 202296
ファイル名: redhat_unpatched_tomcat-rhel8_module.nasl
バージョン: 1.2
タイプ: local
エージェント: unix
公開日: 2024/7/12
更新日: 2024/7/13
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Medium
基本値: 5.1
現状値: 4
ベクトル: CVSS2#AV:N/AC:H/Au:N/C:P/I:P/A:P
CVSS スコアのソース: CVE-2019-17563
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.7
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2022-45143
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:pki-servlet-engine, p-cpe:/a:redhat:enterprise_linux:tomcat, cpe:/o:redhat:enterprise_linux:8, p-cpe:/a:redhat:enterprise_linux:pki-servlet-container
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
脆弱性公開日: 2019/4/12
参照情報
CVE: CVE-2019-0221, CVE-2019-10072, CVE-2019-12418, CVE-2019-17563, CVE-2020-11996, CVE-2020-13934, CVE-2020-13935, CVE-2020-13943, CVE-2020-17527, CVE-2021-25122, CVE-2021-25329, CVE-2021-41079, CVE-2022-29885, CVE-2022-45143, CVE-2023-41080, CVE-2023-42795, CVE-2023-45648