2 つのセキュリティ問題および 1 つのバグを解決する更新済みの tomcat6 パッケージが Red Hat Enterprise Linux 6 で現在利用可能です。

Red Hatセキュリティレスポンスチームは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度の評価を提供するCommon Vulnerability Scoring System（CVSS）のベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに確認できます。

Apache Tomcatは、JavaサーブレットとJavaServer Pages（JSP）技術のサーブレットコンテナです。

特定の文字列が Double オブジェクトに変換過程にサービス拒否の欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、特別に細工された HTTP リクエストを介して Tomcat をハングさせる可能性があります。
（CVE-2010-4476）

Tomcat の NIO（ノンブロッキング I/O）コネクタで欠陥が見つかっています。リモートの攻撃者がこの欠陥を利用して、大きなNIOバッファサイズリクエスト値を含む、特別に細工されたリクエストを介して、サービス拒否（メモリ不足状態）を起こす可能性があります。（CVE-2011-0534）

この更新では、以下のバグも修正されます：

* 「tomcat6」初期化スクリプトのバグにより、追加の Tomcat のインスタンスが起動できなくなります。また、「service tomcat6 start」を実行すると、「/etc/sysconfig/tomcat6」から適用された構成オプションが、「/etc/tomcat6/tomcat6.conf」からのものに上書きされました。この更新により、Tomcatの複数のインスタンスが期待通りに実行するようになります。（BZ#676922）

Tomcat のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、この問題を修正する必要があります。この更新を有効にするには、Tomcat を再起動する必要があります。

検出

RHEL 6：tomcat6（RHSA-2011: 0335）

medium Nessus プラグイン ID 52606

変更ログが見つかりません