Apache Tomcat JK Connector の Content-Length ヘッダーにおけるクロスユーザーの情報漏洩
low Nessus プラグイン ID 46885
Language:
概要
リモート Web サーバーは、情報漏洩攻撃を受けやすくなっています。説明
サーバー応答ヘッダーに基づき、リモートホストでリッスンする Apache Tomcat の JK コネクタ（mod_jk）のインストールは、 1.2.27 より前のバージョン 1.2.x です。これにより、情報漏洩脆弱性の影響を受けます。リモートの攻撃者が、データなしで Content-Length のあるリクエストを送信するか、非常に高速に繰り返しのリクエストを送信することで、異なるユーザーのリクエストに関連する応答を表示できます。Nessus は、この問題をテストしていませんが、その代わりにアプリケーションの自己報告されたバージョン番号のみに依存していることに、注意してください。
ソリューション
mod_jk バージョン 1.2.27 または以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: Low
ID: 46885
ファイル名: mod_jk_1_2_27.nasl
バージョン: 1.10
タイプ: remote
ファミリー: Web Servers
公開日: 2010/6/14
更新日: 2022/4/11
設定: 徹底したチェックを有効にする
サポートされているセンサー: Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.2
CVSS v2
リスクファクター: Low
基本値: 2.6
現状値: 1.9
ベクトル: CVSS2#AV:N/AC:H/Au:N/C:P/I:N/A:N
脆弱性情報
CPE: cpe:/a:apache:tomcat_connectors
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2009/4/7
脆弱性公開日: 2009/4/7
参照情報
CVE: CVE-2008-5519
BID: 34412