Apache Tomcat 9.0.92< 9.0.96の複数の脆弱性

critical Nessus プラグイン ID 211503

Language:

概要

リモートの Apache Tomcat サーバーは、複数の脆弱性の影響を受けます。

説明

リモートホストにインストールされている Tomcat のバージョンは 9.0.96より前です。したがって、fixed_in_apache_tomcat_9.0.96_security-9 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- Apache Tomcat での不適切なオブジェクトリサイクリングおよび再利用の脆弱性。HTTP/2 リクエストで使用されるリクエストと応答の不適切なリサイクルにより、ユーザー間でリクエストや応答が取り違えられる可能性があります。この問題は、11.0.0-M23 から 11.0.0-M26 まで、10.1.27 から 10.1.30 まで、9.0.92 から 9.0.95 までの Apache Tomcat に影響します。ユーザーには、この問題を修正したバージョン 11.0.0、10.1.31、または 9.0.96 へのアップグレードをお勧めします。(CVE-2024-52317)

- Apache Tomcat の未チェックのエラー状態の脆弱性。Tomcat がカスタム Jakarta Authentication (旧 JASPIC) ServerAuthContext コンポーネントを使用するように構成され、失敗を示す HTTP ステータスを明示的に設定せずに認証プロセス中に例外をスローする可能性がある場合でも、認証が失敗しない可能性があり、ユーザーが認証プロセスをバイパスする可能性があります。このように動作する既知の Jakarta Authentication コンポーネントはありません。この問題は、次の Apache Tomcat に影響します。11.0.0-M1 から 11.0.0-M26 まで、10.1.0-M1 から 10.1.30 まで、9.0.0-M1 から 9.0.95 まで。ユーザーには、この問題を修正したバージョン 11.0.0、10.1.31、または 9.0.96 へのアップグレードをお勧めします。(CVE-2024-52316)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。