Tomcat サーブレットおよび JSP エンジンに複数のセキュリティ脆弱性が発見されました。これにより、有効なユーザー名を特定するためのタイミング攻撃、SecurityManager のバイパス、システムプロパティの開示、グローバルリソースへの無制限アクセス、任意のファイルの上書き、および潜在的な権限昇格を引き起こす可能性があります。さらに、この更新により、Tomcat の初期化スクリプトとメンテナースクリプトがさらに強化され、潜在的な権限昇格が防止されます。報告してくれた Paul Szabo 氏に感謝します。これはおそらくちょうど1か月でサポート終了となる Tomcat 6 の最後のセキュリティ更新です。できるだけ早く Tomcat 7 などのサポートされている別のバージョンに切り替えることを強くお勧めします。Debian 7 'Wheezy' では、これらの問題はバージョン 6.0.45+dfsg-1~deb7u3 で修正されています。tomcat6 パッケージをアップグレードすることを推奨します。注 : Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-728-1 : tomcat6 セキュリティ更新

critical Nessus プラグイン ID 95454

バージョン 3.11