Scientific Linux セキュリティ更新：SL6.x i386/x86_64 の tomcat6

medium Nessus プラグイン ID 61051

Language:

概要

リモート Scientific Linux ホストに 1 つ以上のセキュリティ更新がありません。

説明

Apache Tomcat は、Java サーブレットおよび JavaServer Pages（JSP）技術のサーブレットコンテナです。

Web アプリケーションが Tomcat ホストの作業ディレクトリの位置を変更できることが判明しました。Tomcat に展開されている Web アプリケーションがこのディレクトリへの読み取りおよび書き込みのアクセスを行えるようになると、悪意ある Web アプリケーションがこの欠陥を利用して、 Tomcat を騙して、ファイルシステム上の任意のディレクトリへの読み取りおよび書き込みのアクセスを行えるようにする可能性があります。
（CVE-2010-3718）

Tomcat の Web アプリケーションを管理するために使用される、Manager アプリケーションにクロスサイトスクリプティング（XSS）の欠陥が見つかりました。リモートの攻撃者が Manager アプリケーションにログインしているユーザーを騙して、特別に細工された URL にアクセスさせることができた場合に、攻撃者がログインしているユーザーの権限で Manager アプリケーションのタスクを実行することが可能です。
（CVE-2010-4172）

Manager アプリケーションに第 2 のクロスサイトスクリプティング（XSS）の欠陥が見つかりました。悪意ある Web アプリケーションがこの欠陥を利用して、XSS 攻撃を実行し、Manager アプリケーションの Web ページにログインして表示している被害者の権限で、任意の Web スクリプト実行を行う可能性があります。（CVE-2011-0013）

この更新は以下のバグも修正します：

- 「tomcat6」の init スクリプトのバグにより、追加の Tomcat インスタンスが起動できませんでした。また、「service tomcat6 start」を実行すると、「/etc/sysconfig/tomcat6」から適用された構成オプションが、「/etc/tomcat6/tomcat6.conf」からのものに上書きされました。この更新により、 Tomcat の複数のインスタンスが期待通りに実行するようになります。
（BZ#636997）

- 「/usr/share/java」ディレクトリには、「/usr/share/tomcat6/bin/tomcat-juli.jar」ライブラリへのシンボリックリンクが欠如しています。このライブラリが特定の操作（Jasper JSP プレコンパイラの実行など）で必須のため、「build-jar-repository」コマンドは有効なクラスパスを構成できませんでした。この更新により、欠落しているシンボリックリンクが追加されました。（BZ#661244）

- 以前、Tomcat がログインシェルとして構成されている有効なシェルがないユーザー下で実行するように構成されている場合、「tomcat6」init スクリプトは、「This account is currently not available」（このアカウントは現在利用できません）というメッセージで起動に失敗していました。この更新により、デーモンユーザーのログインシェルに関係なく init スクリプトが適切に動作するように修正されます。
さらに、展開のベストプラクティスにより推奨されているように、これらの新しい tomcat6 パッケージが、「/sbin/nologin」を「tomcat」ユーザーのログインシェルとしてインストール時に設定するようになりました。（BZ#678671）

- 一部の標準の Tomcat ディレクトリには、「tomcat」グループに対する書き込み権限が欠如していました。これにより、特定のアプリケーションが「No output folder」（出力フォルダがありません）といったエラーで失敗することがありました。この更新により、影響を受けるディレクトリに対する「tomcat」グループの書き込み権限が追加されます。
（BZ#643809）

- 「/usr/sbin/tomcat6」ラッパースクリプトは、「catalina.out」に対してハードコードされたパスを使用していました。これにより、Tomcat が「tomcat」以外のユーザーで実行されていた場合や、デフォルト以外のディレクトリに CATALINA_BASE を設定して実行されていた場合、問題（ログ init スクリプト出力をおこなう際など）が発生していた可能性があります。（BZ#695284、BZ#697504）

- Tomcat を停止させると、特定の Web アプリケーションが展開されていた際に、トレースバックエラーが「catalina.out」にログが記録される可能性がありました。（BZ#698624）

Tomcat のユーザーは、バックポートされたパッチが含まれるこれらの更新済みパッケージへアップグレードし、これらの問題を修正する必要があります。この更新を有効にするには、Tomcat を再起動する必要があります。