openSUSE セキュリティ更新：tomcat（openSUSE-2016-384）

深刻度

テーマ

openSUSE セキュリティ更新：tomcat（openSUSE-2016-384）

high Nessus プラグイン ID 90136

言語:

New! プラグインの深刻度には CVSS v3 が適用されるようになりました。

プラグインの深刻度は、デフォルトで CVSS v3 を使って計算されるように更新されました。プラグインに CVSS v3 スコアがない場合には、CVSS v2 を使って深刻度が計算されます。深刻度の表示設定は、[設定]のドロップダウンで切り替えができます。

概要

リモート openSUSE ホストに、セキュリティ更新がありません。

説明

tomcat 用のこの更新は、次の問題を修正します：

Tomcat 8 は 8.0.23 から 8.0.32 に更新され、バグおよびセキュリティ問題が修正されました。

修正済みセキュリティ問題：

- CVE-2015-5174：Apache Tomcat の RequestUtil.java のディレクトリトラバーサルの脆弱性により、リモートの認証されたユーザーが、意図された SecurityManager 制限をバイパスし、/. を通じて親ディレクトリをリストすることが可能でした。
getResource、getResourceAsStream、または getResourcePaths コールの Web アプリケーションによって使用されるパス名の（スラッシュドットドット）。これは、$CATALINA_BASE/webapps ディレクトリによって実証されています。（bsc#967967）

- CVE-2015-5346：同一の Web アプリケーションの複数のバージョンの展開に対して異なるセッション設定が使用された場合の Apache Tomcat のセッション固定の脆弱性により、リモートの攻撃者が、CoyoteAdapter.java および Request.java に関連して、意図しないリクエストに対する requestedSessionSSL フィールドの使用を利用することで、Web セッションをハイジャックできる可能性がありました。
（bsc#967814）

- CVE-2015-5345：Apache Tomcat の Mapper コンポーネントは、セキュリティ制限とフィルターを考慮する前にリダイレクトを処理します。これにより、リモートの攻撃者は末尾の /（スラッシュ）文字がない URL を介して、ディレクトリの存在を判断することが可能でした。（bsc#967965）

- CVE-2015-5351：Apache Tomcat の (1) Manager および (2) Host Manager アプリケーションは、任意の新しいリクエストに対してセッションを確立し、CSRF トークンを送信していました。これにより、リモートの攻撃者は、トークンを使用して CSRF 保護メカニズムをバイパスすることが可能でした。（bsc#967812）

- CVE-2016-0706：Apache Tomcat は、org.apache.catalina.manager.StatusManagerServlet を org/apache/catalina/core/RestrictedServlets.properties リストに配置していませんでした。これにより、認証されたリモートのユーザーは、SecurityManager の意図された制限をバイパスしたり、任意 HTTP リクエストを読み取ったり、結果として、細工された Web アプリケーションを介してセッション ID 値を発見したりすることが可能でした。（bsc#967815）

- CVE-2016-0714：Apache Tomcat のセッション維持の実装は、セッション属性を不適切に処理していました。これにより、認証されたリモートのユーザーは、SecurityManager の意図された制限をバイパスしたり、セッションに細工されたオブジェクトを配置する Web アプリケーションを介して、権限のあるコンテキスト内で任意のコードを実行したりすることが可能でした。（bsc#967964）

- CVE-2016-0763：Apache Tomcat の org/apache/naming/factory /ResourceLinkFactory.java の setGlobalContext メソッドは、ResourceLinkFactory.setGlobalContext の呼び出し元が承認されているかどうかを考慮しませんでした。これにより、リモートの認証されたユーザーは、細工されたグローバルコンテキストを設定する Web アプリケーションを通じて、意図された SecurityManager 制限をバイパスして任意のアプリケーションデータを読み書きしたり、サービス拒否（アプリケーションの混乱）を引き起こすことが可能でした。
（bsc#967966）

すべての変更内容については、以下を参照してください：
http://tomcat.apache.org/tomcat-8.0-doc/changelog.html

この更新は、SUSE:SLE-12-SP1 からインポートされました：更新プロジェクトを更新します。

ソリューション

影響を受ける tomcat パッケージを更新してください。

プラグインの詳細

深刻度: High

ID: 90136

ファイル名: openSUSE-2016-384.nasl

バージョン: 2.7

タイプ: local

エージェント: unix

ファミリー: SuSE Local Security Checks

公開日: 2016/3/24

更新日: 2021/1/19

依存関係: ssh_get_info.nasl

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

CVSS v2

リスクファクター: Medium

Base Score: 6.8

ベクトル: AV:N/AC:M/Au:N/C:P/I:P/A:P

CVSS v3

リスクファクター: High

Base Score: 8.8

ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

脆弱性情報

CPE: p-cpe:/a:novell:opensuse:tomcat, p-cpe:/a:novell:opensuse:tomcat-admin-webapps, p-cpe:/a:novell:opensuse:tomcat-docs-webapp, p-cpe:/a:novell:opensuse:tomcat-el-3_0-api, p-cpe:/a:novell:opensuse:tomcat-embed, p-cpe:/a:novell:opensuse:tomcat-javadoc, p-cpe:/a:novell:opensuse:tomcat-jsp-2_3-api, p-cpe:/a:novell:opensuse:tomcat-jsvc, p-cpe:/a:novell:opensuse:tomcat-lib, p-cpe:/a:novell:opensuse:tomcat-servlet-3_1-api, p-cpe:/a:novell:opensuse:tomcat-webapps, cpe:/o:novell:opensuse:42.1

必要な KB アイテム: Host/local_checks_enabled, Host/SuSE/release, Host/SuSE/rpm-list

パッチ公開日: 2016/3/23

参照情報

CVE: CVE-2015-5174, CVE-2015-5345, CVE-2015-5346, CVE-2015-5351, CVE-2016-0706, CVE-2016-0714, CVE-2016-0763