SUSE SLES15 / openSUSE 15 セキュリティ更新: tomcat10 (SUSE-SU-2025:0033-1)
critical Nessus プラグイン ID 213596
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:0033-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。Tomcat 10.1.34に更新します。
- 修正された CVE:
- CVE-2024-54677: サンプルウェブアプリケーションの DoS (bsc#1234664)
- CVE-2024-50379: JSP コンパイルの TOCTOU の問題による RCE (bsc#1234663)
- CVE-2024-52317: HTTP/2 でのリクエスト/応答の取り違え (bsc#1233435)
- CVE-2024-56337: JSP コンパイルにおける TOCTOU 問題による RCE - 軽減策が不完全でした
- Catalina
- 追加: DefaultServlet のように WebDAV Servlet のみでサブパスからリソースを提供するオプションを追加します。(michaelo)
- 修正: storeconfig の SSLHostConfig のプロトコル属性に対する特別な処理を追加します。(remm)
- 修正: 69442: リクエストパラメーターを解析する際の content-type のチェックで、大文字と小文字の区別を修正します。(remm)
- コード: 1 つのメソッドにコンテンツタイプからメディアタイプとサブタイプを抽出するための重複コードをリファクタリングします。(markt)
- 修正: コンストラクターまたはプロパティ関連のメソッドがチェック例外をスローするコンポーネントとの、生成された埋め込みコードの互換性。(remm)
- 修正: 同時読み取りおよび書き込み中の一貫性のないリソースメタデータに対する以前の修正が不完全でした。(markt)
- 修正: #780: content-range ヘッダーの長さを修正します。Chenjp により提出されました。(remm)
- 修正: 69444: アプリケーション定義のエラーページが呼び出されたときに、jakarta.servlet.error.message リクエスト属性が必ず設定されるようにします。(markt)
- 修正: ステータスサーブレットによって生成される JSON の数値に対して、引用符を使用しないようにします。(remm)
- 追加: WebDAV およびデフォルトサーブレットに対する強力な ETag サポートを追加します。これは、useStrongETags init パラメーターの値を true に設定して使用することで有効にできます。生成される ETag は、リソースコンテンツの SHA-1 チェックサムになります。
(remm)
- 修正: ディレクトリリスト表示にクライアントロケールを使用します。(remm)
- 修正: 69439: ExpiresFilter で複数の Cache-Control ヘッダーの処理を改善します。Chenjp によるプルリクエスト #777 に基づいています。(markt)
- 修正: 69447: 外部リポジトリからロードされたクラスを考慮するために、ウェブアプリケーションのクラスローダーが見つけることができないクラスのキャッシングのサポートを更新します。この修正の前は、これらのクラスが誤って見つからないとマークされる可能性がありました。(markt)
- 修正: 69466: HEAD リクエストの処理を修正します。ユーザーが明示的に設定したヘッダーは削除されず、HEAD リクエストに存在するヘッダーは同等の GET リクエストにも存在します。RFC 9110 の 9.3.2 セクションによると、GET リクエストには存在するが、同等の HEAD リクエストには存在しないヘッダーがいくつか存在する可能性があります。(markt)
- 修正: 69471: CloseNowException のログインスタンスが、エラーレベルではなくデバッグレベルで ApplicationDispatcher.invoke() によってキャッチされました。これは、クライアントの切断または類似の I/O の問題によって引き起こされた可能性が高いためです。(markt)
- 追加: 69442 の修正のためにテストケースを追加します。また、application/x-www-form-urlencoded への参照をリファクタリングします。Chenjp によるプルリクエスト #779 に基づいています。
(markt)
- 修正: 69476: DefaultServlet で PUT 失敗を報告しようとする際に、潜在的な ISE をキャッチします。(remm)
- 追加: RateLimitFilter で、HTTP (ドラフト) 用の RateLimit ヘッダーフィールドのサポートを追加します。Chenjp により提供されたプルリクエスト #775 に基づいています。(markt)
- 追加: #787: 69478 の回帰テストを追加します。プルリクエストは Thomas Krisch 氏により提供されました。(markt)
- 修正: 2 つ以上のリクエストされた範囲が重複する場合、デフォルトのサーブレットが HTTP 範囲のリクエストを拒否するようになりました。Chenjp が提供したプルリクエスト #782 に基づいています。(markt) + 修正: 既定のサーブレットによって処理される部分的な PUT リクエストの Content-Range 検証を強化します。プルリクエストで Chenjp により提供されました #778。(markt) + 修正: グローバルリソースで DataSourceStore 検索を統一し、通常はそこで使用されない comp/env プレフィックスをオプションで回避します。
(remm) + 修正: RFC 9110 で要求されるように、HTTP 範囲ヘッダーは GET リクエストに対してのみ処理されるようになりました。Chenjp により提供されたプルリクエスト #790 に基づいています。
(markt) + 修正: デフォルトサーブレットの useAcceptRanges 初期化パラメーターを廃止します。これは、Tomcat 12 以降で削除され、true に効果的にハードコードされる予定です。(markt) + 追加: WebdavServlet 用の DataSource ベースのプロパティストレージを追加します。(remm)
- Coyote + 修正: encodedSolidusHandling を Servlet 仕様に合わせます。パススルーモードを使用する場合、アプリケーションがパスをデコードする際のエラーや破損を回避するために、%25 シーケンスもパススルーされるようになりました。(markt)
- Jasper + 修正: 69381 の修正に対するフォローアップ。式言語でのメソッド検索パフォーマンスの最適化を、追加の場所に適用します。
(markt)
- ウェブアプリケーション + 修正:ドキュメント。ResourceParams 要素への参照を削除します。
ResourceParams のサポートが Tomcat 5.5.x で削除されました。(markt) + 修正: ドキュメント。69477: RemoteIPFilter の属性の名前を修正します。
属性は、allowedInternalProxies ではなく internalProxies です。プルリクエスト #786 (markt) + 修正: 例。Servlet Request Info サンプルが pathInfo コンポーネントを含む URL 経由で呼び出された場合の破損したリンクを修正します。(markt) + 修正: 例。リクエストヘッダーの例のセッションクッキー値の難読化を JSON 応答に拡張します。(markt) + 追加: 例。サーブレットセッションサンプルのセッション属性を削除する機能を追加します。(markt) + 追加: 例。サーブレットセッションの例に対して、セッションごとに 10 属性のハードコード制限を追加します。(markt) + 追加: 例。JSP フォーム認証の例に対して、セッション属性を削除する機能を追加し、セッションごとに 10 属性のハードコード制限を追加します。(markt) + 追加: 例。事前定義されたアイテムのみをカートに追加できるように、ショッピングカートの例を制限します。(markt) + 修正: 例。JSP カレンダーの例を削除。(markt)
- その他 + 修正: 69465: Tomcat 埋め込み JAR を使用するネイティブイメージのコンパイル中の警告を修正します。(markt) + 更新: Commons DBCP の Tomcat の fork を 2.13.0 に更新します。(markt) + 更新: EasyMock を 5.5.0 に更新します。(markt) + 更新: Checkstyle を 10.20.2 に更新します。(markt) + 更新: BND を 7.1.0 に更新します。(markt) + 追加: フランス語の翻訳を改善します。(remm) + 追加: 韓国語の翻訳に対する改善。(markt) + 追加: 中国語翻訳の改善。(markt) + 追加: tak7iji による日本語翻訳に対する改善。(markt)
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://bugzilla.suse.com/1233435
https://bugzilla.suse.com/1234663
https://bugzilla.suse.com/1234664
https://bugzilla.suse.com/1236809
http://www.nessus.org/u?8ea84f84
https://www.suse.com/security/cve/CVE-2024-50379
https://www.suse.com/security/cve/CVE-2024-52317
プラグインの詳細
深刻度: Critical
ID: 213596
ファイル名: suse_SU-2025-0033-1.nasl
バージョン: 1.3
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2025/1/9
更新日: 2025/3/13
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 6.7
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 7.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2024-54677
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2024-56337
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:tomcat10-el-5_0-api, p-cpe:/a:novell:suse_linux:tomcat10, p-cpe:/a:novell:suse_linux:tomcat10-webapps, p-cpe:/a:novell:suse_linux:tomcat10-admin-webapps, p-cpe:/a:novell:suse_linux:tomcat10-servlet-6_0-api, p-cpe:/a:novell:suse_linux:tomcat10-jsp-3_1-api, cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:tomcat10-lib
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2025/1/7
脆弱性公開日: 2024/10/9
参照情報
CVE: CVE-2024-50379, CVE-2024-52317, CVE-2024-54677, CVE-2024-56337
IAVA: 2024-A-0754-S, 2024-A-0822-S
SuSE: SUSE-SU-2025:0033-1