リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2675-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    tomcat 用のこの更新は、次の問題を修正します

    Tomcat 9.0.118に更新します。

    - CVE-2026-41284: WebDAV LOCK および PROPFIND 処理の際の無制限読み取り (bsc#1265162)。
    - CVE-2026-41293: HTTP/2 リクエストヘッダーが検証されない (bsc#1265163)。
    - CVE-2026-42498: WebSocket 認証ヘッダーのサイバーエクスポージャー (bsc#1265165)。
    - CVE-2026-43512: ダイジェスト認証システムが不明なユーザーを認証する (bsc#1265145)。
    - CVE-2026-43513: LockOutRealm がユーザー名を大文字と小文字を区別して扱う (bsc#1265166)。
    - CVE-2026-43514: AJP シークレットが非定数時間で比較される (bsc#1265167)。
    - CVE-2026-43515: セキュリティ制約が正しく適用されていない (bsc#1265168)。

    変更：

     Catalina + 追加: version.sh および version.bat を拡張し、APR、Tomcat Native、OpenSSL のバージョン情報 (APR および FFM 実装の両方)、バージョン互換性に関する警告、およびサードパーティライブラリのバージョン情報を表示するようにしました。(csutherl) コード: アクセスログ内のリモートユーザー要素の生成をリファクタリングし、不要なコードを削除しました。(markt) 修正: 以前のリリースで発生した回帰を修正しました。クエリ文字列が存在するものの空の場合、アクセスログに「?」ではなく「?-」が表示される問題を修正しました。(markt) 修正: 前提条件の失敗時に WebDAV の DELETE 操作が失敗するよう修正しました。Mahmoud Alarby による #982 の投稿。(remm) 修正: ExtendedAccessLogValve のエスケープ処理を、他の AccessLogValve 実装と一致するように修正しました。(markt) 修正: 70000: 69967 の修正後、レスポンス確定後に特殊ヘッダーが重複して追加される問題を修正しました。(remm) 修正: 認証済みすべてのユーザーを対象とする特殊な ** ロールのみを指定したセキュリティ制約にマッピングされた URI の処理を修正しました。認証なしのリクエストで、401 レスポンスではなく 403 レスポンスが返されていました。(markt) + 修正: StandardContext.getServletContext() の競合状態を修正し、コンテキストの再読み込み中に jakarta.servlet.context.tempdir 属性が失われる可能性があった問題を修正しました。context フィールドを volatile にし、ロック機構を使用して ApplicationContext のインスタンスが 1 つだけ作成されるようにしました。(dsoumis) + 修正: Windows 認証 (Kerberos) のドキュメントを更新し、Java と Windows の両方で RC4-HMAC のサポートが削除中または削除済みであることを反映しました。現在、このガイドでは AES256-SHA1 が使用されています。(markt) + 修正:WebDAV 用の新しい初期化パラメーター maxRequestBodySize を追加します。これは、LOCK および PROPFIND に対する WebDAV リクエスト本文のサイズを制限します。デフォルト値は 4096 バイトです。(markt) + 追加:ロックを決定する際にユーザー名がどのように扱われるかを制御する、新しい caseSensitive 属性を LockOutRealm に追加します。
     デフォルトは [false] で、ユーザー名は大文字と小文字を区別しない方法で扱われます。(markt) + 修正: ダイジェスト認証を持つ無効なユーザーの処理を修正しました。
     (markt) + 修正: RealmBase が、一致するすべての拡張ベースのセキュリティ制約を確実に検出するように修正しました。(markt)
     * Coyote + 修正: setHeader(String,String) または addHeader(String,String) に無効な値が設定された場合に Content-Length を介してさまざまなエッジケースが発生する問題を回避するため、新しい値が有効かどうかにかかわらず常に以前の値をクリアし、無効な新しい値を無視するように修正しました。(markt) + コード: コードの重複を削減するために、HPACK 動的ヘッダーテーブル実装における実際のインデックスの計算をリファクタリングしました。(markt) + 修正: HTTP/2 の一部の HTTP/2 ストリームエラーメッセージに関するさまざまな軽微な問題を修正しました。(markt) + 修正: 正規化時に NULL バイトを含む URI を一貫して拒否するように修正しました。
     + 修正: FFM 使用時に TLS キーと証明書を読み込む際のエラーパスにおける軽微なメモリリークをいくつか修正しました。(markt) + 修正: ストリームリセット後の GC を支援するために、HTTP/2 ヘッダーの処理後のクリーンアップをリファクタリングしました。(markt) + 修正: HTTP/2 トレーラーフィールドを HTTP/1.1 に準拠させ、トレーラーで許可されていないフィールドをフィルタリングするように修正しました。(markt) + 修正: FFM ベースのコネクター設定での使用後に秘密鍵を解放するように修正しました。
     + 修正: 有効なヘッダーが予期しない接続切断を引き起こす可能性がある HTTP/2 HPACK ヘッダーデコードにおける発生頻度の低いエッジケースの解析バグを修正しました。(markt) + 修正: エンコード処理中にヘッダーフィールド名が一度だけ小文字に変換されるように HTTP/2 HPACK エンコードをリファクタリングしました。(markt) + 修正: HTTP/2 ヘッダーフィールドの検証をより早い段階で実行されるようにリファクタリングしました。大文字の文字に加えて許可されていない文字もチェックするよう検証を拡張しました。(markt) + 修正: OpenSSL 4.0 で追加された TLS 1.3 グループを追加しました。(remm) + 修正: HTTP/2 の :scheme 疑似ヘッダーが TLS の使用 (または非使用) と一致していることを確認する検証を追加しました。(markt) + 修正: Tomcat の動作を RFC 9113 のセクション 8.5 に準拠させるため、疑似ヘッダーおよび CONNECT リクエストの検証を修正しました。(markt) + 修正: 接続レベルのウィンドウ更新から個々の HTTP/2 ストリームへのキャパシティ割り当て時の潜在的な整数オーバーフローを修正しました。Mike Tingey Jr. 氏による #996 の報告に基づいています。(markt) + 修正: AJP シークレットの比較を定数時間アルゴリズムに切り替えました。(markt)
     * WebSocket + 修正:DIGEST 認証が必要なプロキシ経由で接続が行われる、WebSocket エンドポイントへの初期接続を修正しました。
     * その他 + 修正: 69993: CDDL 1.0 ライセンスの URL を更新しました。(markt) + 追加: OpenSSL バイナリが見つからない場合に警告を追加しました。(csutherl) + 追加: Tomcat Native ライブラリのチェックを追加し、スイートで使用されていない場合に確認しやすくするため、見つからない場合に警告をログに記録するようにしました。(csutherl) + 更新: Byte Buddy を 1.18.8 に更新しました。(markt) + 更新: Bouncy Castle を 1.84 に更新しました。(markt) + 更新: フランス語翻訳を改善しました。(remm) + 更新: tak7iji による日本語翻訳を改善しました。(markt)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

SUSE SLES15: tomcat / tomcat-admin-webapps / tomcat-el-3_0-api / etc (SUSE-SU-2026:2675-1)

critical Nessus プラグイン ID 323892

バージョン 1.1