リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2026:0890-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Tomcat 10.1.52に更新します。

    - CVE-2025-66614仮想ホストマッピングによるクライアント証明書の検証バイパスbsc#1258371。
    - CVE-2026-24733HTTP/0.9 リクエストでの入力検証が不適切ですbsc#1258385。
    - CVE-2026-24734不完全な OCSP 検証チェックによる証明書失効のバイパスbsc#1258387

    変更ログ:

     * Catalina + 修正69623長期にわたる回帰に対する追加の修正。 markt+ 修正プルリクエスト #923複数の CSRF トークンを CsrfPreventionFilter で URL に追加することを回避します。 schultz + 修正69918content-length ヘッダーが設定されない場合、リクエストパラメーターが HTTP/2 リクエストに対して正しく解析されるようにします。 dsoumis + 更新Tomcat Native 1.x および 2.xに対して、Tomcat Native の最小バージョンと推奨されるバージョンを個別に設定できるようにします。Tomcat Native の最小バージョンと推奨バージョンを 1.x から 1.3.4に更新します。Tomcat Native の最小バージョンと推奨バージョンを 2.x から 2.0.12に更新します。 (markt) + 追加新しい ssoReauthenticationMode を Tomcat が提供する Authenticators に追加します。これにより、SSO Valve requireReauthentication 属性の Authenticator ごとのオーバーライドを提供します。 markt+ 修正Rewrite Valve の URL エンコーディングエラーが、置換文字をサイレントに使用するのではなく、例外を発生させるようにします。 markt+ 修正69932リクエストの開始時刻を代わりに記録する、リクエスト終了アクセスログパターンの回帰を修正します。 remm+ 修正69871リライトバルブの構成がないために、ログレベルが INFO に増加されます。 remm+ 修正追加の Host appBase の疑わしい値に対するログ警告を追加します。
     remm+ 修正catalina.jar に対する tomcat-jni.jar の強い依存関係を削除します。
     org.apache.catalina.Connector は、org.apache.tomcat.jni.AprStatus が存在することを必須としなくなりました。 markt+ 追加カスタム関数を使用して CrawlerSessionManagerValve でクライアント識別子を生成する機能を追加します。これはプログラムでのみ利用可能です。Brian Matzon 氏によるプルリクエスト #902 。 markt+ 修正 SSL Valve で再認証が有効に設定されている場合は、通常の SPNEGO 認証が実行されるように、SPNEGO 認証の SSO 再認証の挙動を変更します。これは、委任された認証情報をウェブアプリケーションが使用できるようにするためです。マークt+ 修正ローダーでクラスパスを生成する際、潜在的な NullPointerException を回避するために個別のクラスパスコンポーネントのチェックの順番を入れ替えます。Coverity Scan によって特定されました。 markt+ 修正JNDI レルムの SSL ソケットファクトリー構成を修正します。Joshua Rogers 氏によるプルリクエスト #915 に基づきます。 remm + 更新 属性gestInRfc3112Order を MessageDigestCredentialHandler に追加し、認証情報とソルトがダイジェストされる順序をコントロールします。デフォルトでは、RFC 3112 に準拠していない最新のソルト、認証情報の順序が使用されます。このデフォルトは、Tomcat 12 で、RFC 3112 に準拠した認証情報、ソルトの順序に変更されます。 markt+ 修正SSO 構成がドキュメントに準拠していない場合に警告をログに記録します。 remm + 更新RemoteAddrFilter および RemoteAddrValve を廃止し、RemoteCIDRFilter および RemoteCIDRValve に置き換えます。 markt+ 修正69837Windows で実行しているときに ローダーが生成するクラスパスの破損を修正します。 markt+ 修正無効な Windows ファイル名にマッピングするリクエストを早期に拒否。
     markt+ 修正69839セッション ID への変更通常は認証後が SSO Valve に共有され、SSO エントリがセッションの失効時に完全にクリーンアップされるようにします。Kim Johan Anderson 氏によりパッチを提供。 markt+ 修正FileStore のストレージ場所の作成での競合状態を修正します。 markt
     * Cluster + 追加62814人間が読み取り可能な名前が mapSendOptions に使用される可能性があることを文書化し、文書を channelSendOptions と合わせて調整します。archan0621 によるプルリクエスト #929 に基づきます。 markt
     * クラスタリング + 修正一部のクラスタリング構成を壊す、 10.1.45 で導入された回帰を修正します。 markt
     * Coyote + 修正69936Tomcat ネイティブ シャットダウンでの以前の修正のバグを修正します。これにより重大なメモリ漏洩が発生していました。Wes により提供されたパッチ。 markt+ 修正TLS が有効なカスタムコネクタを使用する際に、起こり得る NPE を回避します。 remm + 修正FFM コードで暗号リストを設定する際の警告を改善し、tomcat ネイティブの変更を反映。 remm + 修正69910ソケットを閉じた直後に TLS オブジェクトを逆参照し、メモリ効率を向上します。 remm+ 修正SSLHostConfig での JSSE vs OpenSSL 構成スタイルチェックを緩和し、既存の実装を反映させることで、1 つの構成スタイルを信頼属性に使用でき、異なるスタイルをその他のすべての属性に使用できます。 markt + 修正OpenSSLConf 構成要素が JSSE TLS 実装で使用される際の警告メッセージを改善。 markt+ 修正 FFM 経由で OpenSSL を使用する際、CA 証明書が構成され構成が失敗した場合を除き、CA 証明書がないことについての警告をログに記録しません。 markt+ 追加 OpenSSL と JSSE TLS 実装の間の構成の一貫性のために、SSLHostConfig の ciphers 属性に含まれる TLSv1.3 暗号スイートは現在は常に無視されます以前は OpenSSL 実装で無視され、JSSE 実装で使用されていました暗号スイートが無視されたことを示す警告が記録されます。 markt+ 追加: SSLHostConfig に暗号スイート属性を追加して、TLSv1.3 暗号スイートを構成します。 markt+ 追加OCSP サポートを JSSE ベースの TLS コネクタに追加し、JSSE ベースと OpenSSL ベースの TLS の両方の実装で、コネクタごとに OCSP の使用を構成できるようにします。OpenSSL が実行するチェックを JSSE が実行するチェックと合わせて調整します。 markt+ 追加ソフトエラーサポートがデフォルトで無効になっている OCSP チェックのソフトエラーに対するサポートを追加します。 markt+ 追加OpenSSL ベースの TLS 実装を使用する際に、OCSP_basic_verify に渡される検証フラグの構成サポートを追加します。 markt+ 修正OpenSSL FFM コードの、 より前のバージョンの LibreSSL との互換性を修正します 3.5。
     + 修正OpenSSLengine リソースの同時リリースと Tomcat ネイティブライブラリの終了を阻止します。Tomcat のシャットダウン中にクラッシュが発生する可能性があるためです。 markt+ 修正KeyStore インスタンスがコネクタ上で直接設定されている場合、TLS コネクタを作成する際に、間違った証明書 KeyStore の場所をログに記録しません。 markt+ 修正HTTP/0.9 は HTTP メソッドとして GET のみを許可します。 remm + 追加strictSni 属性をコネクタに追加し、SNI ホスト名に関連付けられた SSLHostConfig 構成と、HTTP プロトコルホスト名から一致する SSLHostConfig 構成の照合を許可します。構成が一致しない場合、リクエストが拒否されます。属性のデフォルト値は true で、マッチングが有効になります。 remm + 修正FFM コードの BoringSSL での OCSP の丁寧な失敗。 remm+ 修正通常はTomcat 11でのみ削除されるため、JMXのdeferAccept属性の使用を修正。remm+ 修正69866OpenSSLプロバイダーでトラストストアを使用するときのメモリリークを修正。aogburn によるリクエスト #912 をプルします。 markt+ 修正コネクタが Tomcat ネイティブライブラリに依存している場合、シャットダウンでクラッシュする可能性を修正します。 markt+ 修正AJP メッセージ長のチェックを修正。Joshua Rogers 氏によるプルリクエスト #916 。
     + 修正69848AJP コネクタ経由で受信した DELETE リクエストが OPTIONS リクエストとして処理され、PROPFIND リクエストが TRACE として処理されることを意味する、 10.1.47 のコピー/貼り付けエラーを修正します。 markt+ 修正OpenSSL FFM コードでの、さまざまな OCSP 処理の問題。 dsoumis
     * 一般 + 追加test.silent プロパティを追加し、テストの実行中に JUnit コンソール出力を抑制します。複数のスレッドでテストを実行するときのクリーンなコンソール出力に役立ちます。 csutherl
     * Jasper + 修正6933369333 の以前の修正で回帰を修正し、reuse() または release() が常にタグに対して呼び出されるようにします。 markt+ 修正69877無効な URI を処理するためのクラスパスを作成する際、URI の処理時に IllegalArgumentException をキャッチします。 remm + 修正webapp クラスローダーリポジトリでクラスパスを設定することを修正します。 remm+ 修正69862一部の例外の詳細を隠していた NPE によるサーブレット例外のラップ解除を回避します。Eric Blanquer 氏によって提出されたパッチ。 remm
     * Jdbc-pool + 修正64083内在する接続が閉じている場合は、返されたときにプールに追加しません。Alex Panchenko 氏によるプルリクエスト #235 。 markt
     * Web アプリケーション + 修正 ManagerWeb アプリケーションの 1 つ以上が起動に失敗した場合に、HTML および JSON の完全なサーバーステータス出力が突然切り捨てられることを修正します。
     schultz+ Add: ManagerHTML および JSON の完全なサーバーステータス出力に Web アプリケーションの状態を含めます。 markt+ 追加ドキュメントドキュメントを拡張し、OCSP がサポートされる状況とサポートされない場合をより詳しく説明します。 markt
     * Websocket + 修正69920WebSocket セッションから取得した、閉じられた Writer または OutputStream に書き込もうとするとき、Writer で必要であり、OutputStream で強く推奨されているように、IllegalStateExcpetion ではなく IOException をスローします。 markt+ 修正69845Java 25 以降で permessage-deflate を使用する場合、Java 24 およびそれ以前で行うように、NullPointerException ではなく、IllegalStateException をスローする下層の Inflater および/または Deflater を処理します。
     * その他の + 更新Commons Pool の内部 fork を に更新します 2.13.1。 markt+ 更新Commons DBCP の内部 fork を に更新します 2.14.0。 markt+ 更新Commons デーモンを に更新します 1.5.1。 markt+ 更新ByteBuddy を に更新します 1.18.3。 markt+ 更新UnboundID を に更新します 7.0.4。 markt+ 更新Checkstyle を に更新します 12.3.1。 markt+ 追加フランス語翻訳の改善。 markt+ 追加tak7oji によって提供される日本語翻訳の向上。 markt+ 追加Yang 氏によって提供される中国語翻訳の改善。 vincent.h および Yong Hu です。 markt+ 更新Tomcat ネイティブを に更新 2.0.12。 markt+ 追加プロパティ「gpg.sign.files」を追加し、GPG でのリリースアーティファクト署名をオプションで無効にします。 rjung+ 追加選択的なテスト実行のためのテストプロファイルシステムを追加します。プロファイルは -Dtest を通じて指定できます。profile=<name> パターンを直接使用せずに、特定のテストサブセットを実行します。プロファイルパターンは、test-profiles.properties で定義されます。 csutherl + 更新Apache Web サーバーhttpdによって使用される現在のリストに合わせて、メディアタイプマッピングへのファイル拡張子を更新。 markt+ 更新Jakarta EE 用の Tomcat Migration Tool のパッケージされたバージョンを に更新します 1.0.10。 markt+ 更新Commons デーモンを に更新します 1.5.0。 markt+ 更新Byte Buddy を に更新します 1.18.2。 markt+ 更新Checkstyle を に更新します 12.2.0。 markt+ 追加White Vogel 氏により提供されたスペイン語翻訳の改善。 markt+ 追加フランス語翻訳の改善。 remm+ 更新Apache Commons BCEL の内部 fork を に更新します 6.11.0。 markt+ 更新Byte Buddy に更新 1.17.8。 markt+ 更新Checkstyle に更新します 12.1.1。 markt+ 更新Jacococ に更新してください 0.8.14。 markt+ 更新SpotBugs に更新します 4.9.8。 markt+ 更新JSign に更新してください 7.4。 markt+ 更新Maven リゾルバー Ant タスクを に更新します 1.6.0。 rjung

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES15 / openSUSE 15 セキュリティ更新: tomcat10 (SUSE-SU-2026:0890-1)

medium Nessus プラグイン ID 302254

バージョン 1.3