SUSE SLES12:libapr1/libapr1-devel/libtcnative-1-0/libtcnative-1-0-devel/etc(SUSE-SU-2026:4927-1)
critical Nessus プラグイン ID 374094
Language:
概要
リモートの SUSE ホストに 1 つ以上のセキュリティ更新がありません。説明
リモートの SUSE Linux SLES12 / SLES_SAP12 ホストには、SUSE-SU-2026:4927-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。- CVE-2026-73581:証明書がキーストアを使用する場合、OpenSSL および OpenSSL-FFM TLS実装は CRL を無視します(bsc#1282631)。
- CVE-2026-74048:FIPS アクティベーションの失敗による暗号ポリシーのバイパス(bsc#1286502)。
- CVE-2026-74049:Jasper JSTL<c:redirect> プラグイン実装により、ページ中止が省略されます(bsc#1286555)。
- CVE-2026-75973:Jakarta 認証が「SimpleAuthConfigProvider」で構成されている場合の不適切な認証(bsc#1282630)。
- CVE-2026-76183:任意の WebSocket エンドポイントのセキュリティ制約がバイパスされる可能性があります(bsc#1282629)。
- CVE-2026-77756:Tomcat がリバースプロキシ(bsc#1282628)の背後にある場合、HTTPリクエストの一貫性のない解釈により、攻撃者が別のユーザーからの 1 つのリクエストを失敗させる可能性があります。
- CVE-2026-77762:古い HPACK エミッターは、トレーラーフィールドを別の HTTP/2 リクエストに注入します(bsc#1282599)。
- CVE-2026-77791:WebSocket クローズメッセージ送信時の制御されないリソース消費により、DoS 攻撃が引き起こされました(bsc#1282627)。
- CVE-2026-78383:制限またはスロットリングのないリソースの割り当てにより、認証されていない AJP リクエストが AJP 処理スレッドにピン留めされ、サービス拒否(bsc#1282626)につながる可能性があります。
- CVE-2026-78437:クリーンアップが不完全な場合、無効な形式のリクエストが他のユーザーからのリクエストを失敗させる可能性があります(bsc#1282625)。
- CVE-2026-79677:有効期間後にリソースがリリースされないこと、および誤った係数を使用した比較により、非同期 WebSocket 書き込みのタイムアウトが失われているため、サービス拒否が引き起こされる可能性があります(bsc#1282624)。
- CVE-2026-80353:APR/Native コネクタ用の unix ドメインソケットを作成する際の TOCTOU により、認証されていないローカルユーザーが unix ドメインソケット(bsc#1286902)にアクセスする可能性があります。
- CVE-2026-86243:TLSハンドシェイク中のバッファオーバーリードにより、悪意のあるユーザーが JVM クラッシュを介して DoS を発生させる可能性があります(bsc#1282623)。
- CVE-2026-86246:安全でない ALLOW_CLIENT_RENEGOTIATION、NO_EXTENDED_MASTER_SECRET、IGNORE_UNEXPECTED_EOF および ALLOW_NO_DHE_KEX オプションがデフォルトで有効です(bsc#1282622)。
- CVE-2026-86247:競合状態により、一部の構成でクライアント証明書の検証要件がダウングレードされる可能性があります(bsc#1282621)。
- CVE-2026-86248:ソフトフェイルが無効化されている場合、一部のシナリオでCLIENT_CERT認証は想定通りに失敗しません(bsc#1282620)。
- CVE-2026-86350:HTTP/2 リクエストがリクエストヘッダーの取り違えやHTTPリクエストのスマグリングを引き起こす可能性があります(bsc#1282787)。
- CVE-2026-87022:per-message-deflate が使用される場合での WebSocket メッセージスマグリング(bsc#1282581)。
- CVE-2026-88041:不完全な HTTP トレーラークリーンアップによる情報漏洩(bsc#1286559)。
- CVE-2026-93446: 1.3 接続失敗TLS可能性があります(bsc#1286571)。
- CVE-2026-101296:JNDI レルムにおける非 GSSAPI SASL を介した認証バイパス(bsc#1286361)。
- CVE-2026-101356:HTTP/2 処理における不適切なオブジェクトのリサイクルによる情報漏洩(bsc#1286362)。
修正されたセキュリティ以外の問題：
- Tomcat TLS破損 - Tomcat 9.0.14 更新は tomcat-native と互換性がありません(bsc#1130843)。
libapr1 の変更:
1.6.5 に更新:
- 1.6.4 の apr_os_exp_time_put() での Win32 ビルド破損を修正します + 1.6.3 で導入された scope_id 解析での apr_parse_addr_port() 回帰を修正します + APR ポーリング動作に対する多数の修正 + apr_file_trunc:バッファされたファイルを切り捨てると、切り捨て位置の後に予期しないデータが追加される可能性があります + apr_file_trunc:切り捨て後にバッファされたファイルから読み取ると、古いデータがバッファから返される可能性がある問題を修正します + 空の入力文字列で apr_ipsubnet_create() が失敗するようになりました +apr_time_exp*() でのCVE-2017-12613領域外読み取りを修正 + ビルドファイルを find_apr.m4 および apr_common.m4 エクスポート + apr_proc_mutex-pthread:Refcount が mutex の使用を共有して、一部のプロセスによる使用中の破壊を回避します + 新しい API: apr_allocator_align()、apr_os_proc_mutex_put_ex()、apr_os_proc_mutex_get_ex()、apr_os_proc_mutex_set_ex()、 apr_file_pipe_create_pools()、apr_pollcb_wakeup()、apr_pollcb_method_name()、apr_cstr_*()、apr_skiplist_addne*()、apr_skiplist_size()、apr_skiplist_height()、apr_skiplist_preheight()、apr_skiplist_set_preheight()、apr_skiplist_add()、apr_sockaddr_info_copy()、apr_shm_delete()、apr_escape_ldap() および apr_pescape_ldap() + APR_OVERLAP_TABLES_ADD、APR_SO_FREEBIND、APR_PERMS_SET マクロを追加 + Unix ドメインソケットサポートを追加 + 新しい構成オプション--enable-allocator-guard-pages
--enable-pool-concurrency-check
libtcnative-1-0 に対する変更:
- 1.3.9 への更新
* セキュリティ修正 + クライアント証明書の要件はダウングレードされる可能性があります(bsc#1282621、 CVE-2026-86247)競合状態により、一部の構成でクライアント証明書の検証要件がダウングレードされる可能性があります。
+ セキュアでない OpenSSL オプションを有効にしました(bsc#1282622、 CVE-2026-86246) Apache Tomcat ALLOW_CLIENT_RENEGOTIATION、NO_EXTENDED_MASTER_SECRET、IGNORE_UNEXPECTED_EOF、ALLOW_NO_DHE_KEX を含めて、ネイティブでセキュアでないオプションをデフォルトで有効にしました。
+ TLS ハンドシェイクによる DoS(bsc#1282623、 CVE-2026-86243) TLS ハンドシェイク中の Apache Tomcat Native のバッファオーバーリードの脆弱性により、悪意のあるユーザーが、JVM のクラッシュを通じて DoS を発生させる可能性があります。
* 変更 + コード:OpenSSL 4.0.xでビルドできるように、Windows特定のコードから ERR_remove_thread_state() への呼び出しを削除します。
ERR_remove_thread_state() は OpenSSL 1.1+ では動作しませんが、OpenSSL 4 で削除されました + 修正:ALPN のネゴシエーション時に起こり得るクラッシュを修正します + ALPN ネゴシエーションが失敗し、失敗がリストの最後のサーバープロトコルを使用するように構成されている場合は、クライアントから提示された最後のプロトコルではなく、それを使用してください + 修正:OpenSSL 3.0.x から利用可能な拡張されたオプション範囲のサポートを追加します。オプションフラグが、32 ビットの符号なし整数(Java 整数で表される)ではなく、64 ビットの符号なし整数(Java 長で表される)になりました + コード: 未使用のコードを削除します + クライアント証明書認証をサポートするなど、各接続が証明書検証設定に変更されるようにしますが、他の接続の証明書検証設定を変更しないでください + 修正: raw 証明書を構成する場合の潜在的なクラッシュを修正します + 修正:非常に長い ALPN プロトコル名による潜在的なクラッシュを回避します + 修正:CertificateVerifier の呼び出しをより堅牢にします + 修正:OCSP URL を処理する際に発生する可能性のあるクラッシュを回避します + 修正:OCSP 応答の処理をより堅牢にします + 修正:ソフトフェイルが無効の場合の、より厳密な OCSP 処理 + 修正:Buffer.address(ByteBuffer) の誤用に対して強化します + 修正: Pool.destroy(long) + コードの悪用に対して強化: サポートされている最小 OpenSSL バージョンは、現在 3.0.x です。
OpenSSL 1.1.1 サポートが 1.3.8 で不意に破損しました。この失敗に関するバグレポートは受信されておらず、また OpenSSL 1.1.1 を使用する Debian および Ubuntu バージョンの両方がサポート終了であるため、OpenSSL 1.1.1 はサポートされなくなりました + 更新: OpenSSL 3.0.x はサポート終了に近づいているため、OpenSSL の推奨されるバージョン(および Windows バイナリがビルドされる際に使用するバージョン)は、 3.5.x LTS ブランチに従うようになりました + 修正: DH パラメーターの自動構成に切り替えます。
手動による構成の試行は無視されます + コード:setTmpECDHByCurveName() を NO-OP にします + 修正:証明書からの ECDH カーブ名の抽出をリファクタリングして、廃止予定の OpenSSL メソッドを回避します + 修正:新しい SSL_SESSION_get_time_ex() メソッドを含む OpenSSL のバージョンで実行するときに発生する SSL_SESSION_get_time() の Y2038 問題を回避するために、SSL.getTime() のネイティブ実装をリファクタリングします + _SESSION_get_time_ex() メソッドを復元します + OpenSSL 1.1.1 サポートを復元します
- 1.3.8 への更新 + 証明書の解析時のメモリリークを修正します + Copilot により特定されるエラーパスでの 2 つの潜在的なメモリリークを修正します + Tomcat が JSSE スタイルの構成を使用してトラストストアで構成されている場合のポストハンドシェイク認証を修正します + SSLContext.setSessionTicketKeys を呼び出すときに予想されるチケットのサイズを修正します
- 1.3.7 への更新:[bsc#1260322] 1.3.7
* コード:ASN1_OCTET_STRING へのアクセスをリファクタリングし、セッターを使用して最新の OpenSSL 4.0.x コードに対してビルドする際のエラーを修正します。(markt)
* 修正:複数のレスポンダー URI のある OCSP リクエストの処理を修正します。
(jfclere)
* 修正:ソフトフェイルが無効の場合の OCSP リクエストに対するTRY_AGAIN応答の処理を修正します。(jfclere) 1.3.6
* コード:SSL_CONF_CTX クリーンアップをリファクタリングし、SSL および SSL_CTX クリーンアップと整合させます。(markt)
* 修正:NULL をフィルターで除外し、暗号をエクスポートする際の不必要に大きなバッファ割り当てを修正します。pull リクエスト #35 、chenjp が提供する #37 。
(markt)
* 修正:無効な OpenSSLConf が提供された場合のメモリ漏洩の可能性を修正。pull request #36 chenjp により提供されています。(markt)
* 修正:SSL_CONF_CTX が使用された場合にのみ適用される、OCSP 構成のデフォルトの設定をリファクタリングします。1 つは OCSP 構成オプションを認識する Tomcat バージョンで常に使用されていましたが、1 つは OCSP 構成オプションを認識しない Tomcat バージョンで常に使用されていませんでした。これにより、期待される動作がデフォルトで無効になっているときに、OCSP 検証がデフォルトで有効になっていました。(markt)
* コード:大きな OCSP 応答を処理する稀なケースに対してパフォーマンスを向上します。(markt) 1.3.5
* 修正:tar.gzソースアーカイブにあるファイルから、グループ書き込み権限を削除します。(markt)
* 修正:Tomcat の APR/ネイティブコネクタで動作する OCSP ソフトフェールを妨げていた OCSP 処理における追加のエラーを消去します。(markt) 1.3.4
* 修正:TLS 1.3 暗号化パッケージの構成を妨げていた論理エラーを修正します。(markt) 1.3.3
* 修正:TLS 1.3 暗号化パッケージ構成の追加をリファクタリングして、この変更より前のバージョンの Tomcat を実行する際の回帰を回避します。(markt) 1.3.2
* 更新:configure.in の名前を現代的な自動ツールスタイルの configure.ac に変更します。
(rjung)
* 更新:「buildconf」実行中に自動ツールが生成したファイルの不完全な更新を修正。(rjung)
* 更新:tcnative.m4 での引用を改善します。(rjung)
* 更新: 2.68 にリリースするための autoconf の最小バージョンを更新します。
* 修正:リリース作成時の autoconf 警告を修正します。(markt)
* 更新:Windows バイナリは現在、デフォルトで OCSP サポートを有効にしてビルドされています。(markt)
* 追加:OCSPリクエストにノンスを含め、OCSP応答のノンスがあればチェックします。(markt)
* 追加:OCSP 応答の検証を拡張します。(markt)
* 追加:OCSP チェックをソフトフェイルに設定する機能を追加します - つまり
応答者に連絡できない場合、またはタイムリーに応答できない場合、OCSP チェックは失敗しません。(markt)
* 追加:OCSP リクエストの書き込みおよび OCSP 応答の読み取りに構成可能なタイムアウトを追加します。(markt)
* 追加:OCSP 検証フラグを制御する機能を追加します。(markt)
* 追加:TLS 1.3 接続を、提供された暗号リストから構成し、TLS 1.2 以前を使用する接続も構成します。gastush が提供するプルリクエスト。(markt)
* 更新: Visual Studio 2022 を使用するように Windows ビルド環境を更新します。(markt) 1.3.1
* 修正:SSLContext.setCACertificate() が、 https://github.com/openssl/openssl/issues/24416 で適切に対処されるまで、caCertificateFile に null 値、caCertificatePath に null 以外の値で呼び出されたときの Windows のクラッシュを修正します。(michaelo)
* 追加:一定のバッファ長を持つERR_error_string_nを名前付き定数として使用します。(Schultz)
* 追加:新しい配列と文字列を作成するときにローカル参照容量が使用可能であることを確認します。(Schultz)
* 更新:OpenSSL の推奨されている最小バージョンを 3.0.14 に更新します。
1.3.0
* 更新:役に立たない compile.optimize オプションをドロップします。(michaelo)
* 更新:Java ソースのコンパイル構成を Tomcat と整合させます。
(michaelo)
* 修正:Windows 上の DLL ヘッダーに設定されたバージョンを修正します。(michaelo)
* 更新:sslcontext.c における CRL 周辺の到達不能な if 条件を削除します。(michaelo)
* 修正:67818:SSL.setVerify() または SSLContext.setVerify() を呼び出すとき、デフォルトの検証パスはもはや設定されません。明示的に構成されたトラストストアのみが使用されます (存在する場合)。(michaelo)
* 更新:サポートされている LibreSSL の最小バージョンを 3.5.2 に更新します。
*デザイン:NPNが標準化されておらず、ブラウザサポートが2019年に削除されたため、NPNサポートを削除します。(markt)
* 更新:OpenSSL の推奨されている最小バージョンを 3.0.13 に更新します。
- デフォルトの %%{java_home} 定義を削除した後でビルドを修正します
- 1.2.39 への更新:
* 修正:67061:安全でない optionalNoCA 証明書検証モードを使用する場合、有効にした場合に OCSP を無効にしてください。無効にしないと、未知の認証局からのクライアント証明書が拒否されます。
* 更新:OpenSSL の推奨されている最小バージョンを 3.0.11 に更新します。
* 適切なバージョンのディストリビューションに対して、ハードコードされた libopenssl-1_1-devel を libopenssl-devel に変更します
- バージョン 1.2.38 へのバージョン更新:
* デフォルトのパスフレーズプロンプトを HTTPd に揃えます。
* #66669:SNI 処理でのメモリリークを修正します。
* OpenSSL の推奨されている最小バージョンを 1.1.1v に更新してください。
* APR の推奨されている最小バージョンを 1.7.4 に更新してください。
* TLS レンゴシエーションの動作を文書化します。
* リリースプロセスを記述するHOWTO-RELEASE.txtを追加します。
* ライブラリ初期化をリファクタリングを行い、多数の Java クラスが削除された Tomcat 10.1.x 以降と互換性を持つようにします。
* OpenSSL 3.x FIPS の動作を OpenSSL 1.x API にマップして、Tomcat Native が OpenSSL 3.xに対してコンパイルされるときに、FIPS プロバイダーが使用されているかどうかをクライアントが判断できるようにします。
* #66035:ハンドシェイクの失敗後にセッション ID を読み取ろうとする際に発生するクラッシュを修正TLS。
* 任意のディレクトリから download_deps.sh を呼び出せるようにします。
* 現在の git レイアウトで動作するようにリリーススクリプトを修正します。
* #65441:OpenSSL 3.xで続行するためにビルドを有効にしていた以前の修正を修正。
* #65659:Tomcat Native ディストリビューションに含まれなくなった、pkg-config への残りの参照を削除します。
* #65181:専用鍵フォーマットを使用する OpenSSL エンジンの使用をサポートするために、追加の変更が必要でした。
* #65329:make ファイルの WINVER の処理を修正して、Windows 7 に対して正しい定数を使用します。Windows 8、Windows 8.1 、Windows 10 に定数を追加します。WINNT は Windows NT 以上ではなく、Windows 2000 以降で使用されるため、WINNT の名前を WIN2k に変更します。
* APR 用のパッチを追加します。これにより、一部の構成の一部の Windows システムが、IPv6 および IPv4 アドレスの両方をリッスンするように構成されていても、デュアルスタックシステム上の IPv6 アドレスのみをリッスンする問題が修正されます。
* 無効な鍵ファイルが提供され、OpenSSL エンジンが構成されていない場合にエラーメッセージが表示されるのを妨げていた 65181 の修正にある回帰を訂正。
* #65181:専用鍵フォーマットを使用する OpenSSL エンジンの使用に対するサポートを改善します。
* OpenSSL 3.x と 1.1.1に対して続行するために、ビルドを有効にします。
* tcn_api.h での C++ コンパイラの名前マングリングの修正が不完全でした。
* ネイティブスレッド id に対する OS 固有のヘッダーインクルードを向上します。
* LibreSSL に対するキーログコールバックサポートを無効にします。
* LibreSSL 2.9.1 および以降で SSLContext.addChainCertificateRaw() のサポートを追加します。
* ssl_thread_id(void)で HP-UX の _lwp_self() のサポートを追加します。
* rpath のために HP-UX 上のリンカーに渡されるデフォルトオプションを削除します。
* OCSP レスポンダーチェックをバイパスできるようにするオプションを追加します。
注意:OCSP が有効の場合、応答者の欠如がエラーとして扱われるようになりました。
* #64429:LibreSSL でのコンパイルを修正します。
* #63671:libtcnative は、スレッドサポートなしで OpenSSL < 1.1.0 および APR でコンパイルしません。
* OpenSSL libdir に対する構成メッセージを訂正します。
* #64260:インストールターゲットをクリーンアップします。
* #64315:OpenSSL の出力が間違っている/不完全な場合があります。
* HP-UX の廃止されたビルド時間の回避策をドロップします。
* ssl_thread_id(void)で FreeBSD の pthread_getthreadid_np() のサポートを追加します。
* #64316:コードの重複を減らすために tcn_get_thread_id(void) を導入します。
* FreeBSD 上の標準でない場所にある OpenSSL に対するリンクを修正します。
- GPG キーリングを追加します。
- バージョン 1.2.23 へのバージョン更新:
* 詳細な Upstream の変更については、changelog.htmlを参照してください
- バージョン 1.2.21 へのバージョン更新:
* Tomcat との非互換性を修正します(bsc#1130843)
- バージョン 1.2.16 へのバージョン更新:
* openssl の新しいバージョンによるビルド破損を修正
- バージョン 1.2.4 へのバージョン更新:
* このコネクタを適切に動作させるには openssl 1.0.2 以降が必要なため、他のコードストリームにバックポートしないでください。
- 新しいキーリングがあり、Web で見つからなかったため、キーリングファイルを削除します
- バージョン 1.1.32 への更新
* 修正:53952:TLSv1.2 および TLSv1.1 のサポートを追加します。
* 修正:56844:Windows バイナリで OpenSSL 1.0.1j を使用します。
* 更新:Windowsバイナリで APR 1.5.1 を使用します
- バージョン 1.1.30
* ssl_ocsp_request での二重解放を修正しました。Aristotelis 氏が提供するパッチ。
* その他のマイナーなバグ修正。
tomcat に対する変更:
Tomcat 9.0.123に更新します。
* Catalina + 修正:Web アプリケーションを起動するときは、Web アプリケーションクラスローダーが起動するまで Web アプリケーションクラスローダーを試したり使用したりしないでください。(markt) + 修正:CombinedRealm からレルムを追加および削除することに関連する様々な並行性問題(特に、CombinedRealm の使用中に行う場合)。
注意:レルムインスタンスがランタイムに CombinedRealm インスタンスから削除されると、削除されたレルムインスタンスは、同じ CombinedRealm に再追加する以外には再利用できない可能性があります。(markt) + 更新:StoreConfigが既存のserver.xmlまたはコンテキスト構成ファイルを書き換えるとき、ベストエフォートベースで既存のファイルのレイアウト(コメント、空白行、属性順序)を維持してください。(remm) + 修正:コンテキストが server.xml の Context 要素から展開されたかどうかを StandardContext で追跡します。これを使用して、StoreConfigを新しい構成ファイルに保存します。(remm) + 修正:起動時のエラー処理を改善します。(markt) + 修正:DefaultServlet によって生成されたバイト範囲応答ので、短いリソースストリームの読み込みが応答を切り捨てません。ストリームの早期終了を I/O エラーとして処理します。aoto-tech によるプルリクエスト #1067 に基づいています。
(markt) + 修正:OpenSSLLifecycleListener を AprLifecycleListener に合わせ、FIPS がリクエストされるが利用できない場合にエラーをスローします。(markt) + 修正:ドキュメントのとおり、JNDI レルムがユーザーを認証するために提供された名前とパスワードを使用してバインドする際に、常に単純なバインドが使用されるようにしてください。(markt) + 更新:ローカライゼーションのための Accept-Language ヘッダー処理とリソース budle の使用を最適化します。(REMM)
* Coyote + 修正:70236:サーバーから送信されたハンドシェイクメッセージの最初のフライトが大きすぎて BIO ペアが使用するバッファに収まらない場合の、SSLEngine の OpenSSL ベースの実装で、ストールした TLS ハンドシェイクを修正します。Lukas Hellebrandt 氏によって提出されたパッチ。(remm) + 修正: #1073:アップロードで HTTP/2 および async IO を使用する場合の破損の可能性を修正します。提出者:ティム・バーク。(remm) + 修正:非同期書き込み通知と完了の間の非常に稀な競合を回避します。この場合、書き込み通知は役に立たないため、スキップしてください。(remm) + 修正:AJP 接続に対して大規模なノンブロッキング書き込みのストールを引き起こす可能性があるタイミング問題。(markt) + 修正:AJP エンドレスポンスメッセージを送信する前に、ノンブロッキング書き込みバッファが空であることを確認してください。(markt) + 修正:CharChunk.indexOf(char) により、チャンクがバッファの先頭で開始していない場合に、チャンクの開始オフセットの 2 倍から検索するのではなく、チャンクの先頭から検索するようにします。(breken-ai) + 修正:70247:HTTP リクエスト本文の一部が受信されるが読み込まれないときに発生するHTTP/2接続フロー制御ウィンドウの漏えいを修正。Guillaume Darmont 氏から提供されたパッチを基にしました。(markt) + 修正:70251:JAR が共有されていないことが確実でない限り、CloseableURLConnection の JarFile を閉じないようにしてください。(remm) + 修正:チャンクされた本体への以前の書き込みが失敗した場合に、チャンクされた応答本文が破損する可能性があるHTTP/1.1 。(markt) + 修正:暗号仕様が暗号を追加、削除し、そして再度追加する場合、暗号の順序を OpenSSL が生成する結果と一致させます。(markt) + APR/Native コネクタに新しい属性(unixDomainSocketParentPermissions および unixDomainSocketParentOwner)を追加して、Unix ドメインソケットのセキュリティをさらに制御できるようにします。Unix ドメインソケットが作成されるディレクトリの追加チェック(デフォルトで有効)が追加されました。(markt) + 修正:HTTP/2 ヘッダーを処理する場合の狭い競合状態を修正します。
+ 修正:Tomcat がハンドシェイクの進行状況を追跡するために使用するフラグの 1 つが適切にリセットされないことで発生する可能性のある TLS 接続TLS失敗。(markt) + 修正:SNI チェックで絶対ホスト名を許可します。(markt) + 修正:一部のエラー状態で予期しない IllegalStateExceptions につながる、非同期エラー処理のギャップを修正します。(markt) + 追加:非同期エラーを正しく処理しないアプリケーションに対して HTTP/2 を強化します。(markt)
* Jasper + 修正:Ant タスクとして使用される場合、JspC サーブレットコンテキストロギングを Ant 経由でルーティングします。(sainadh777) + 修正:ページ処理がリダイレクトで終了するように JSTL<c:redirtect> タグのタグプラグイン。(markt)
* Web アプリケーション + 追加:ドキュメンテーション:HTTP ホストヘッダーによる仮想ホストマッチングと SNI による TLS 構成マッチングは、まったく別個のプロセスであることを明示します。(markt) + 修正:例:WebSocket 描画ボードに、軸揃えの長方形および楕円を線として描画します。(sainadh777)
* その他 + 更新: 6.13.0 への Apache Commons BCEL の内部フォーク。(markt) + 更新:NSIS 3.13 に。(markt) + 更新:Byte Buddy 1.18.14 へ。(markt) + 更新:Bouncy Castle 1.8.6に。(markt) + 追加:フランス語翻訳の改善。(remm) + 追加:tak7iji が提供する日本語翻訳の向上。(markt)
* クラスター + 修正:ClusterSingleSignOn の removeSession() および sessionChangedId() によって行った SSO セッションキーセットの変更を複製し、セッションが異なるクラスターノードでセッションが期限切れになったときでも、最後に関連するセッションが期限切れになったときに、SSO エントリが正しく登録解除され、すべてのノードから削除されるようにします。(remm) + 修正: Web アプリケーションがまだ起動している間に設定されたコンテキスト属性を、ReplicatedContext にインストールするときにレプリケートされた属性マップに移動して、アプリケーションを起動したノードに対してローカルのままにするのではなく、後で設定される属性のように他のノードにレプリケートされるようにします。(remm) + 修正:DeltaSession.expire() のデッドロックの可能性:デルタの取得にはデルタロックがかかり、デルタロックが保持されている間に実行されるコード(セッション属性リスナー通知など)が、セッションモニターを待機する可能性があるため、最終的なセッションデルタがキャプチャされ、セッションモニターが取得される前にクラスターに送信されるようになりました。(remm) + 修正: SimpleTcpCluster メッセージ送信が失敗し、notifyLifecycleListenerOnFailure が有効になっている場合、メッセージ、宛先、例外を含む、文書化された send_message_failure ライフサイクル イベントを起動します。このイベントは以前に宣言されましたが、発生されたことはありませんでした。(remm) + 修正:DeltaSession のデッドロックの可能性:属性が設定または削除されたときのデルタロックが保持されている間は、セッション属性リスナーは呼び出されなくなりました。デルタロックは、変更が記録されている間のみ保持されます。(markt) + 修正:DeltaSession の潜在的なデッドロック:受信したセッションの差分は、セッションがローカルの変更を記録するために使用するものとは別の DeltaRequest に読み込まれるようになりました。これにより、受け取った変更の処理中にデルタロックを保留する必要がなくなります。(markt) + 修正:SessionListener の追加と削除を複製する際の問題により、一部の変更が複製されず、クラスター全体でリスナー構成の一貫性がなくなっていました。(markt)
* Tribes + Docs:JMX を通じて利用可能な Tribes チャネル、メンバーシップ、転送、およびレプリケーションステータスを文書化します。sainadh777 によるプルリクエスト #1071 に基づいています。
+ 修正:アプリケーションが AsyncContext.dispatch() に使用されるパスを制御できないため、コンテキスト属性 dispatchersUseEncodedPaths が false に設定されたときの AsyncContext.dispatch() の処理を向上します。この修正前は、リテラルの「?」文字を含むパスは切り捨てられていました。(markt) + 修正:RewriteCond からのキャプチャグループが、常に現在のリクエストの結果を反映するようにします。(markt) + 修正:PersistentManager がアクティブなセッションの数を減らす必要がある場合、最も使用頻度の低い適格なセッションを最初にスワップアウトします。プルリクエスト #1045 sainadh777 により提供されます。(markt) + 修正:web.xmlログ出力を新しいコンテキスト属性 urlPatternsProvidedInDecodedForm に揃えます。(markt) + 修正:システムクロックジャンプに対するダイジェスト認証のロバスト性を向上します。
+ 追加:RemoteIpFilter および RemoteIpValve で複数のプロトコルヘッダー値(単一のマージされたヘッダー値として扱う)をサポートします。(markt) + 修正:セッションストアとの間でセッションの読み込み/保存を行う際の、潜在的な並行性の問題。StoreBase を拡張しないカスタム ストア実装では、同時実行保護を確保するためにストア インターフェイスの新しい getSessionStoreLock() メソッドを実装する必要があります。提供されるデフォルトのメソッド実装では、プレフィックス機能のみが提供されます。(markt) + 修正:PersistentManagerBase を拡張する PersistentManager 実装が、現在処理中のリクエストに関連付けられているセッションをスワップアウトしないようにします。その結果、minIdleSwap または maxIdleSwap のいずれかが構成されている場合、システムプロパティのorg.apache.catalina.session.StandardSession.ACTIVITY_CHECKが(明示的にかSTRICT_SERVLET_COMPLIANCEを介して)true に設定されることが要件となっています。(markt) + 修正:xreflection で生成されたコードのスタックオーバーフローの問題。(remm) + 修正:xreflection を IntrospectionUtils とより適切に整合させます。(remm) + 修正:半分閉じた後(リモート)の HTTP/2 では、予期しないフレームはストリームエラーになるはずです。(remm) + 修正:HTTP/2 にアップグレードする際の初期ウィンドウサイズの計算が不正確でした。
(remm) + 修正:無効な content-length 値を持つ HTTP/2 例外を回避します。(remm) + 修正:プロパティが設定されているとき、CATALINA_HOME システムプロパティからネイティブライブラリのみ試行およびロードします。(markt) + 修正:enpoint 再開後の最大接続数の強制。(remm) + 修正:FFM を使用するコネクタに対して、より厳密な ALPN マッチングを実装します。(markt) + 追加:ALPN プロトコル名の長さ検証。(markt) + 修正:FFM 証明書の検証をより堅牢にします。(markt) + 修正:FFM OCSP URL 解析を Tomcat Native と整合させ、使用可能な OCSP URL が存在しないかのように解析エラーを処理します。(markt) + 修正:OCSP 応答の処理をより堅牢にします。(markt) + 修正:ソフトフェイルが無効化されているときの、より厳密な OCSP 処理。(markt) + 修正:AJP respo の処理をよりクリーンに...
注意: この説明は、長さの関係上省略されています。詳細については、ベンダーのアドバイザリを参照してください。
Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://bugzilla.suse.com/1130843
https://bugzilla.suse.com/1151059
https://bugzilla.suse.com/1199170
https://bugzilla.suse.com/1260322
https://bugzilla.suse.com/1282581
https://bugzilla.suse.com/1282599
https://bugzilla.suse.com/1282620
https://bugzilla.suse.com/1282621
https://bugzilla.suse.com/1282622
https://bugzilla.suse.com/1282623
https://bugzilla.suse.com/1282624
https://bugzilla.suse.com/1282625
https://bugzilla.suse.com/1282626
https://bugzilla.suse.com/1282627
https://bugzilla.suse.com/1282628
https://bugzilla.suse.com/1282629
https://bugzilla.suse.com/1282630
https://bugzilla.suse.com/1282631
https://bugzilla.suse.com/1282787
https://bugzilla.suse.com/1286361
https://bugzilla.suse.com/1286362
https://bugzilla.suse.com/1286502
https://bugzilla.suse.com/1286555
https://bugzilla.suse.com/1286559
https://bugzilla.suse.com/1286571
https://bugzilla.suse.com/1286902
https://www.suse.com/security/cve/CVE-2017-12613
https://www.suse.com/security/cve/CVE-2023-49582
https://www.suse.com/security/cve/CVE-2026-101296
https://www.suse.com/security/cve/CVE-2026-101356
https://www.suse.com/security/cve/CVE-2026-41293
https://www.suse.com/security/cve/CVE-2026-73581
https://www.suse.com/security/cve/CVE-2026-74048
https://www.suse.com/security/cve/CVE-2026-74049
https://www.suse.com/security/cve/CVE-2026-75973
https://www.suse.com/security/cve/CVE-2026-76183
https://www.suse.com/security/cve/CVE-2026-77756
https://www.suse.com/security/cve/CVE-2026-77762
https://www.suse.com/security/cve/CVE-2026-77791
https://www.suse.com/security/cve/CVE-2026-78383
https://www.suse.com/security/cve/CVE-2026-78437
https://www.suse.com/security/cve/CVE-2026-79677
https://www.suse.com/security/cve/CVE-2026-80353
https://www.suse.com/security/cve/CVE-2026-86243
https://www.suse.com/security/cve/CVE-2026-86246
https://www.suse.com/security/cve/CVE-2026-86247
https://www.suse.com/security/cve/CVE-2026-86248
https://www.suse.com/security/cve/CVE-2026-86350
https://www.suse.com/security/cve/CVE-2026-87022
https://www.suse.com/security/cve/CVE-2026-88041
プラグインの詳細
深刻度: Critical
ID: 374094
ファイル名: suse_SU-2026-4927-1.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2026/10/30
更新日: 2026/10/30
サポートされているセンサー: Nessus Agent, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.9
パーセンタイル: 58.34
CVSS v2
リスクファクター: Low
基本値: 3.6
現状値: 2.8
ベクトル: CVSS2#AV:L/AC:L/Au:N/C:P/I:N/A:P
CVSS スコアのソース: CVE-2017-12613
CVSS v3
リスクファクター: High
基本値: 7.1
現状値: 6.4
ベクトル: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: Critical
Base Score: 9.1
Threat Score: 8.1
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2026-101296
脆弱性情報
CPE: cpe:/o:novell:suse_linux:12, p-cpe:/a:novell:suse_linux:libapr1-devel, p-cpe:/a:novell:suse_linux:libapr1, p-cpe:/a:novell:suse_linux:libtcnative-1-0-devel, p-cpe:/a:novell:suse_linux:libtcnative-1-0, p-cpe:/a:novell:suse_linux:tomcat-admin-webapps, p-cpe:/a:novell:suse_linux:tomcat-docs-webapp, p-cpe:/a:novell:suse_linux:tomcat-el-3_0-api, p-cpe:/a:novell:suse_linux:tomcat-javadoc, p-cpe:/a:novell:suse_linux:tomcat-jsp-2_3-api, p-cpe:/a:novell:suse_linux:tomcat-lib, p-cpe:/a:novell:suse_linux:tomcat-servlet-4_0-api, p-cpe:/a:novell:suse_linux:tomcat-webapps, p-cpe:/a:novell:suse_linux:tomcat
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2026/10/29
脆弱性公開日: 2017/10/23
参照情報
CVE: CVE-2017-12613, CVE-2023-49582, CVE-2026-101296, CVE-2026-101356, CVE-2026-41293, CVE-2026-73581, CVE-2026-74048, CVE-2026-74049, CVE-2026-75973, CVE-2026-76183, CVE-2026-77756, CVE-2026-77762, CVE-2026-77791, CVE-2026-78383, CVE-2026-78437, CVE-2026-79677, CVE-2026-80353, CVE-2026-86243, CVE-2026-86246, CVE-2026-86247, CVE-2026-86248, CVE-2026-86350, CVE-2026-87022, CVE-2026-88041, CVE-2026-93446
IAVA: 2026-A-0475, 2026-A-1039-S, 2026-A-1182
SuSE: SUSE-SU-2026:4927-1