複数のセキュリティ問題を修正する更新済みの tomcat6 のパッケージが、Red Hat Enterprise Linux 5 と 6 の JBoss Enterprise Web Server 2.0.0 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Apache Tomcat はサーブレットコンテナです。

セッション識別子なしに保護されているリソースにリクエストを送信すると、クロスサイトリクエスト偽造（CSRF）防止フィルターをバイパスできることが判明しました。リモートの攻撃者が、この欠陥を利用して、 CSRF 防止フィルターに依存し、CSRF の内部緩和機能を含まないアプリケーションに対して、 CSRF 攻撃を実行することが可能でした。
（CVE-2012-4431）

HTTP NIO（非ブロック I/O）コネクタおよび HTTPS を使用する際、 Tomcat が sendfile 操作を処理していた過程に、欠陥が見つかりました。リモートの攻撃者は、この欠陥を悪用して、サービス拒否（無限ループ）を引き起こすことがあります。JBoss Enterprise Web Server ではデフォルトで HTTP NIO コネクタが使用されています。Tomcat Native ライブラリからの Apache Portable Runtime（APR）コネクタはこの欠陥の影響を受けていませんでした。（CVE-2012-4534）

Tomcat ダイジェスト認証の導入に、複数の脆弱性が見つかりました。これは、ダイジェスト認証によって通常提供されるセキュリティを効果的に低減させます。リモートの攻撃者はこれらの欠陥を利用して、反射攻撃を状況に応じて実行する可能性があります。（CVE-2012-5885、 CVE-2012-5886、CVE-2012-5887）

Tomcat HTTP NIO コネクタがリクエストヘッダーのサイズ許可制限を適用する方法で、サービス拒否の欠陥が見つかりました。リモートの攻撃者は、この欠陥を利用して、非常に長いヘッダーの特別に細工されたリクエストを送信することで、OutOfMemoryError を誘発する可能性があります。JBoss Enterprise Web Server ではデフォルトで HTTP NIO コネクタが使用されています。Tomcat Native ライブラリからの APR コネクタは、この欠陥の影響を受けていませんでした。（CVE-2012-2733）

警告：この更新を適用する前に、既存の JBoss Enterprise Web Server のインストール内容（すべてのアプリケーションと構成ファイル）をバックアップしてください。

Tomcat のユーザーは、これらの更新済みパッケージへアップグレードし、これらの問題を解決する必要があります。この更新を有効にするには、Tomcat を再起動する必要があります。

検出

RHEL 5/6：JBoss Web Server（RHSA-2013:0266）

medium Nessus プラグイン ID 76234

変更ログが見つかりません