tomcat 用のこの更新は、次の問題を修正します：

Tomcat 8 は 8.0.23 から 8.0.32 に更新され、バグおよびセキュリティ問題が修正されました。

修正済みセキュリティ問題：

- CVE-2015-5174：Apache Tomcat の RequestUtil.java のディレクトリトラバーサルの脆弱性により、リモートの認証されたユーザーが、意図された SecurityManager 制限をバイパスし、/. を通じて親ディレクトリをリストすることが可能でした。
 getResource、getResourceAsStream、または getResourcePaths コールの Web アプリケーションによって使用されるパス名の（スラッシュ ドット ドット）。これは、$CATALINA_BASE/webapps ディレクトリによって実証されています。（bsc#967967）

- CVE-2015-5346：同一の Web アプリケーションの複数のバージョンの展開に対して異なるセッション設定が使用された場合の Apache Tomcat のセッション固定の脆弱性により、リモートの攻撃者が、CoyoteAdapter.java および Request.java に関連して、意図しないリクエストに対する requestedSessionSSL フィールドの使用を利用することで、Web セッションをハイジャックできる可能性がありました。
 （bsc#967814）

- CVE-2015-5345：Apache Tomcat の Mapper コンポーネントは、セキュリティ制限とフィルターを考慮する前にリダイレクトを処理します。これにより、リモートの攻撃者は末尾の /（スラッシュ）文字がない URL を介して、ディレクトリの存在を判断することが可能でした。（bsc#967965）

- CVE-2015-5351：Apache Tomcat の (1) Manager および (2) Host Manager アプリケーションは、任意の新しいリクエストに対してセッションを確立し、CSRF トークンを送信していました。これにより、リモートの攻撃者は、トークンを使用して CSRF 保護メカニズムをバイパスすることが可能でした。（bsc#967812）

- CVE-2016-0706：Apache Tomcat は、org.apache.catalina.manager.StatusManagerServlet を org/apache/catalina/core/RestrictedServlets.properties リストに配置していませんでした。これにより、認証されたリモートのユーザーは、SecurityManager の意図された制限をバイパスしたり、任意 HTTP リクエストを読み取ったり、結果として、細工された Web アプリケーションを介してセッション ID 値を発見したりすることが可能でした。（bsc#967815）

- CVE-2016-0714：Apache Tomcat のセッション維持の実装は、セッション属性を不適切に処理していました。これにより、認証されたリモートのユーザーは、SecurityManager の意図された制限をバイパスしたり、セッションに細工されたオブジェクトを配置する Web アプリケーションを介して、権限のあるコンテキスト内で任意のコードを実行したりすることが可能でした。（bsc#967964）

- CVE-2016-0763：Apache Tomcat の org/apache/naming/factory /ResourceLinkFactory.java の setGlobalContext メソッドは、ResourceLinkFactory.setGlobalContext の呼び出し元が承認されているかどうかを考慮しませんでした。これにより、リモートの認証されたユーザーは、細工されたグローバルコンテキストを設定する Web アプリケーションを通じて、意図された SecurityManager 制限をバイパスして任意のアプリケーションデータを読み書きしたり、サービス拒否（アプリケーションの混乱）を引き起こすことが可能でした。
 （bsc#967966）

すべての変更内容については、以下を参照してください：
http://tomcat.apache.org/tomcat-8.0-doc/changelog.html

この更新は、SUSE:SLE-12-SP1 からインポートされました：更新プロジェクトを更新します。

検出

openSUSE セキュリティ更新：tomcat（openSUSE-2016-384）

high Nessus プラグイン ID 90136

変更ログが見つかりません