SUSE SLES15 / openSUSE 15 セキュリティ更新: tomcat10 (SUSE-SU-2025:1024-1)
critical Nessus プラグイン ID 233402
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:1024-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- CVE-2025-24813: PUT の一部で発生する可能性のある RCE や情報漏洩/破損を修正 (bsc#1239302)
その他の修正:
- Tomcat 10.1.39 に更新
* 修正:
- java 17 で起動しない問題 (bsc#1239676)
* Catalina
- 修正: 69602: 2024 年 12 月のリリースでの、設定が厳格すぎるために If-Range ヘッダー内の弱い ETag が拒否されて 400 応答が返されるという回帰が修正されました。
代わりに、If-Range に強い ETag が必要なため、失敗した一致と見なされるようになります。(remm)
- 修正: リソース名でクラスローダーリソースを検索するとき、リソース名が「/」で始まってはなりません。リソース名が「/」で始まる場合、Tomcat はそれを寛大に扱い、「/」が存在しないかのように検索します。ウェブアプリケーションのクラスローダーが外部リポジトリで設定され、「/」で始まる名前が検索に使用された場合、キャッシュされた「見つかりませんでした」の結果により、正しいリソース名を使用した検索結果が隠れてしまう可能性がありました。(markt)
- 修正: JNDIRealm が GSSAPI 認証を使用するよう設定されている場合、HttpServletRequest.login(String username, String password) に提供された認証情報を検証できるようにしました。(markt)
- 修正: Java 19 および Java 20 が Java 21 の機能をサポートしていると誤って識別されていた、JRE 互換性検出のバグを修正しました。(markt)
- 修正: 必要のない場合にはリフレクションが使用されないよう、CVE-2024-56337 に対するサイバーエクスポージャーと保護のチェックを改善しました。ファイルシステムで大文字と小文字が区別されるかどうかのチェックが削除されました。
(markt)
- 追加: AccessLogValve および ExtendedAccessLogValve に、(ServletRequest.getServletConnection().getConnectionId() によって返される) 接続 ID のログ記録機能を追加しました。これは、Dmole によるプルリクエスト #814 に基づいています。(markt)
- 修正: 部分的な PUT に使用される一時ファイルが削除されないシナリオを回避します。(remm)
- 修正: 69576: CVE-2024-56337 のチェックで導入された未処理の例外により発生する可能性のあった、JreCompat の初期化時のエラーを回避します。(remm)
* クラスタ
- 追加: 69598: KubernetesMembershipProvider の実装に、サービスアカウントトークン変更の検出機能を追加し、トークンが変更された場合にリロードするようにしました。Miroslav Jezbera 氏によるパッチに基づいています。(markt)
* Coyote
- 修正: 69575: 応答が compress、deflate、zstd のいずれかを使用してすでに圧縮されている場合、圧縮の使用を回避します。(remm)
- 更新: クライアントが gzip を含む TE ヘッダーを送信する場合、圧縮に Content-Encoding ではなく Transfer-Encoding を使用します。(remm)
- 修正: 予期しない 500 応答を引き起こす可能性がある、HTTP/2 ストリームリセットの処理における競合状態を修正しました。(markt)
* その他
- 追加: Windows 以外のプラットフォームで Windows 用インストーラーを構築するためのオプションとして makensis を追加しました。(rjung/markt)
- 更新: Byte Buddy を 1.17.1 に更新しました。(markt)
- 更新: Checkstyle を 10.21.3 に更新しました。(markt)
- 更新: SpotBugs を 4.9.1 に更新しました。(markt)
- 更新: JSign を 7.1 に更新しました。(markt)
- 追加: フランス語の翻訳の改善。(remm)
- 追加: tak7iji による日本語翻訳の改善。(markt)
- 追加: ログを 1 行の JSON ドキュメントとしてフォーマットするよう、org.apache.juli.JsonFormatter を追加しました。(remm)
- Tomcat 10.1.35 に更新
* Catalina
- 更新: WebDAV サーブレットが使用する可能性がある DataSourcePropertyStore に tableName 設定を追加しました。(remm)
- 更新: RFC 9110 に従って HTTP If ヘッダー処理を改善しました。Chenjp 氏によるプルリクエスト #796 に基づいています。(remm/markt)
- 更新: Resources 要素に対して readOnly 属性の設定を可能にし、主要なリソースの readOnly 属性の値も設定できるようにしました。
属性値は、デフォルトおよび WebDAV サーブレットでも使用されます。
(remm) + 修正: 69285: 含まれているリクエストのパラメーターマップの作成を最適化します。John Engebretson 氏によるサンプルコードとテストケースに基づく修正。(markt) + 修正: 69527: キャッシュされたリソースが 0 のコンテンツ長で設定されたり、すぐに排除されるという稀なケースを回避。(remm) + 修正: WebDAV の LOCK および PROPFIND リクエストについて、本体のないリクエストを検出しようとする際に発生する可能性のあるエッジケース (HTTP/1.0など) を修正。(remm) + 修正: 69528: リソースの bloom archiveIndexStrategy に対して、マルチリリース JAR のサポートを追加。(remm) + 修正: WebDAV サーブレットでの WEB-INF および META-INF のチェックを改善。Chenjp 氏により提出されたパッチに基づいています。(remm) + 修正: CrawlerSessionManagerValve からクライアントマップへの未使用のセッションを削除。
Brian Matzon 氏により提出されました。(remm) + 追加: チェックを追加して、1 つ以上のウェブアプリケーションが CVE-2024-56337に対して脆弱である可能性がある場合に、JVM が脆弱性から保護されるように設定されていることを確認します。設定されていない場合は、JVM が正しく設定されます。1 つ以上のウェブアプリケーションが CVE-2024-56337 に対して脆弱であり、JVM を正しく設定できない、または正しく設定されたことを確認できない場合、影響を受けているウェブアプリケーションが起動しないようにします。(markt) + 修正: serveSubpathOnly を true に設定して WebDAV サーブレットを使用する場合、リクエストされた WebDAV 操作の対象もサブパスに制限されるようにします。(markt) + ターゲットリソースを削除できないために、Default サーブレットが DELETE リクエストに対して 405 (メソッドが許可されない) 応答を返す場合に、適切な Allow HTTP ヘッダーを生成します。プルリクエスト #802 は Chenjp 氏により提供されました。(markt) + コード: RequestDispatcher インスタンスの作成をリファクタリングし、提供されたパスの処理が通常のリクエスト処理と一致するようにします。(markt) + 追加: RequestDispatcher の作成に使用されるパスの処理に対する制御を提供するため、encodedReverseSolidusHandling および codedSolidusHandling 属性を Context に追加します。(markt) + の修正: 非同期処理中に非コンテナスレッドで IOException が発生した後に発生する可能性のある NullPointerException を処理します。(markt) + の修正: 部分的な PUT によって使用される一時ファイルのライフサイクルを強化します。(remm)
* Coyote + 修正: Tomcat がサポートしていない登録済み HTTP/2 設定の警告を記録しません。このような設定は、警告なしに無視されるようになりました。(markt) + の修正: Http11InputBuffer を再利用する際に稀に発生する可能性のある NullPointerException を回避します。(markt) + 修正: NIO コネクタでのポーラーイベントの処理中に無効なソケットチャネルを記録する際のログレベルを debug に下げます。これは通常の使用時にも発生する可能性があるためです。(markt) + コード: リクエスト処理の完了後、HTTP/2 ストリームの参照をクリーンアップして GC を支援し、再利用された HTTP/2 リクエストと応答キャッシュのサイズを減らします。(markt) + 追加: 新しいコネクタ設定属性 encodeReverseSolidusHandling を追加し、URL 内の %5c シーケンスの処理方法を制御します。デフォルトの動作は変更なし (decode) であり、allowBackslash 属性がデコードされた URI の処理方法を決定します。
(markt) + 修正: 69545: ChunkedInputFilter の利用可能なメソッドに対する CRLF スキップを改善しました。(remm)+ 修正: getHeader() への繰り返しの呼び出しのパフォーマンスを改善しました。プルリクエスト #813 は Adwait Kumar Singh 氏により提供されました。(markt) + 修正: 69559: sun.misc.Unsafe::invokeCleaner の使用に関する Java 24 の警告が、コードが使用される場合にのみ JRE によって報告されるようにしました。(markt)
* Jasper + 修正: 69508: 69382 に対する修正で発生した回帰により、page 属性と body の両方にパラメーターが含まれている場合に JSP の include アクションが正常に動作しなくなる問題を修正しました。プルリクエスト #803 は Chenjp 氏により提供されました。(markt) + 修正: Expression Language パーサーの識別子検証を更新しました。これにより、Java 9 以降では「_」も Java のキーワードとなり、識別子として使用できない可能性があります。(markt) + 修正: 69521: EL パーサーを更新し、Java 言語仕様の定義に従って EL 識別子で有効な文字の範囲を完全にサポートするようになりました。(markt) + 修正: 69532: ExpressionFactory インスタンスの作成を最適化しました。パッチは John Engebretson 氏により提供されました。(markt)
* ウェブアプリケーション + 修正:ドキュメント。mapperContextRootRedirectEnabled や mapperDirectoryRedirectEnabled を true に設定することによるセキュリティへの影響について、説明を追加しました。(markt) + 修正: ドキュメント。SSLHostConfig 要素の truststoreProvider 属性のデフォルトについて、より明確な説明を加えました。(markt)
* その他 + 更新: Commons Daemon を 1.4.1 に更新。(markt) + 修正: Jakarta EE 用の Tomcat Migration Tool のパッケージバージョンを 1.0.9に更新。(markt) + 修正: Commons Pool の内部フォークを 2.12.1 に更新。(markt) + 修正: Byte Buddy を 1.16.1 に更新。(markt) + 修正: UnboundID を 7.0.2 に更新。(markt) + 修正: Checkstyle を 10.21.2 に更新。(markt) + 修正: SpotBugs を 4.9.0 に更新。(markt) + 追加: フランス語翻訳を改善。(remm) + 追加: leeyahoo 氏により中国語翻訳を改善。(markt) + 追加: tak7iji 氏により日本語翻訳を改善。(markt) + 追加: tak7iji 氏により日本語翻訳を改善。(markt)
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://bugzilla.suse.com/1239302
https://bugzilla.suse.com/1239676
http://www.nessus.org/u?6812f300
プラグインの詳細
深刻度: Critical
ID: 233402
ファイル名: suse_SU-2025-1024-1.nasl
バージョン: 1.2
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2025/3/27
更新日: 2025/4/1
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Critical
スコア: 9.6
CVSS v2
リスクファクター: Critical
基本値: 10
現状値: 8.3
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2025-24813
CVSS v3
リスクファクター: Critical
基本値: 9.8
現状値: 9.1
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:F/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:novell:suse_linux:tomcat10-el-5_0-api, p-cpe:/a:novell:suse_linux:tomcat10, p-cpe:/a:novell:suse_linux:tomcat10-webapps, p-cpe:/a:novell:suse_linux:tomcat10-admin-webapps, p-cpe:/a:novell:suse_linux:tomcat10-servlet-6_0-api, p-cpe:/a:novell:suse_linux:tomcat10-jsp-3_1-api, cpe:/o:novell:suse_linux:15, p-cpe:/a:novell:suse_linux:tomcat10-lib
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2025/3/26
脆弱性公開日: 2024/12/9
CISA の既知の悪用された脆弱性の期限日: 2025/4/22
参照情報
CVE: CVE-2024-56337, CVE-2025-24813
IAVA: 2024-A-0822-S, 2025-A-0156
SuSE: SUSE-SU-2025:1024-1