複数のセキュリティ問題と 3 つのバグを修正する更新済みの tomcat6 パッケージが、Red Hat Enterprise Linux 5 および 6 用の JBoss Enterprise Web Server 1.0.2 で現在利用可能です。

Red Hat セキュリティレスポンスチームは、この更新のセキュリティ上の影響は中程度であると評価しています。詳細な重要度の評価を提供する Common Vulnerability Scoring System （CVSS）のベーススコアが、「参照」セクションの CVE リンクの各脆弱性に対して利用可能です。

Apache Tomcat はサーブレットコンテナです。

JBoss Enterprise Web Server には Tomcat Native ライブラリが含まれており、Tomcat に対する Apache Portable Runtime（APR）サポートを提供します。このテキストの APR に対するリファレンスは、Tomcat Native インプリメンテーションを参照し、その他の apr パッケージは参照しません。

この更新では、JBPAPP-4873、JBPAPP-6133、および JBPAPP-6852 のバグを修正します。
また、以下のセキュリティ問題を解決します：

複数の欠陥は Tomcat HTTP DIGEST 認証実装を弱体化し、リモートの攻撃者によるセッションリプレイ攻撃を可能にするなど、いくつかの HTTP BASIC 認証の弱点に陥りやすくします。（CVE-2011-1184、CVE-2011-5062、CVE-2011-5063、 CVE-2011-5064）

Coyote（org.apache.coyote.ajp.AjpProcessor）および APR（org.apache.coyote.ajp.AjpAprProcessor）Tomcat AJP（Apache JServ Protocol）コネクタが特定の POST リクエストを処理する方法で、欠陥が見つかりました。攻撃者が特別に細工されたリクエストを送信して、コネクタにメッセージ本文を新しいリクエストとして処理させる可能性があります。この結果、任意の AJP メッセージを注入することができるようになり、攻撃者が Web アプリケーションの認証チェックをバイパスして、他の方法ではアクセスできなかった情報にアクセスする可能性があります。APR ライブラリが存在しない場合、デフォルトで JK （org.apache.jk.server.JkCoyoteHandler）コネクタが使用されます。JK コネクタはこの欠陥の影響を受けません。（CVE-2011-3190）

特定のエラーが発生したときに Tomcat がユーザーリクエストからのデータ（IP アドレスや HTTP ヘッダーなど）が含まれたオブジェクトをリサイクルする方法での欠陥。ユーザーが送信したリクエストによってエラーのログが取られた場合、Tomcat は（異なるユーザーが送信した可能性がある）次のリクエストに最初のユーザーのリクエストからのデータを付けて返信を返していました。これは、情報漏洩につながりました。特定の状況下で、リモートの攻撃者がこの欠陥を利用して、セッションをハイジャックする可能性があります。（CVE-2011-3375）

Java hashCode() メソッドの実装は、予測可能なハッシュ競合の影響を受けやすいでした。リモートの攻撃者は、この欠陥を利用して、名前をマップすると同じハッシュ値になるパラメーターが多数ある HTTP リクエストを送信することで、Tomcat がCPU 時間を過剰に使う原因となることがあります。この問題を緩和するために、この更新では、リクエストごとに処理されるパラメーターの数に制限を設けています。デフォルトでは、パラメーターに対して 512、ヘッダーに対して 128 を制限値に設定しています。これらのデフォルトは、org.apache.tomcat.util.http.Parameters.MAX_COUNT および org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT のシステムプロパティを設定することで変更できます。
（CVE-2011-4858）

Tomcat は、多数のパラメーターや大きなパラメーター値を効率的に処理しませんでした。リモートの攻撃者は、多数のパラメーターや大きなパラメーター値を含む HTTP リクエストを送信し、 Tomcat に CPU 時間を過剰に使わせることが可能です。この問題に対処するために、この更新では、リクエストごとに処理するパラメーターとヘッダーの数に制限を設けています。org.apache.tomcat.util.http.Parameters.MAX_COUNT および org.apache.tomcat.util.http.MimeHeaders.MAX_COUNT のシステムプロパティの詳細については、CVE-2011-4858 の説明を参照してください。
（CVE-2012-0022）

Tomcat MemoryUserDatabase の欠陥。JMX クライアントを用いて新規ユーザーを作成する際にランタイム例外が発生した場合、ユーザーのパスワードが Tomcat ログファイルに記録されます。注：デフォルトでは、管理者のみがこのようなログファイルにアクセスできます。（CVE-2011-2204）

HTTP APR コネクタまたは NIO（Non-Blocking I/O）コネクタを利用している場合に、Tomcat が sendfile リクエスト属性を処理する方法での欠陥。Tomcat インスタンス上で動作中の悪意ある Web アプリケーションがこの欠陥を利用することにより、セキュリティマネージャーの制限をバイパスして、他の方法ではアクセスできなかったファイルにアクセスしたり、Java Virtual Machine （JVM）を終了させたりする可能性があります。JBoss Enterprise Web Server ではデフォルトで HTTP NIO コネクタが使用されています。（CVE-2011-2526）

Red Hat は oCERT および Apache Tomcat プロジェクトに対して、CVE-2011-4858 および CVE-2011-2526 をそれぞれ報告したことに感謝の意を表します。oCERT は、Julian Wälde 氏および Alexander Klink 氏を CVE-2011-4858 の最初の報告者として承認します。

検出

RHEL 5/6：JBoss Web Server（RHSA-2012:0682）

high Nessus プラグイン ID 78925

変更ログが見つかりません