openSUSEセキュリティ更新プログラム：tomcat（openSUSE-2016-1455）
critical Nessus プラグイン ID 95790
Language:
概要
リモートのopenSUSEホストに、セキュリティ更新プログラムがありません。説明
このTomcatの更新には、次の修正が含まれています：機能の変更：
組み込みのApache Commons DBCPコンポーネントがバージョン2.0に更新されました。
(bsc#1010893 fate#321029)
セキュリティ修正：
- CVE-2016-0762：Realmタイミング攻撃（bsc#1007854）
- CVE-2016-5018：セキュリティマネージャーバイパス（bsc#1007855）
- CVE-2016-6794：システムプロパティの漏洩（bsc#1007857）
- CVE-2016-6796：マネージャーバイパス（bsc#1007858）
- CVE-2016-6797：グローバルリソースへの無制限アクセス（bsc#1007853）
- CVE-2016-8735：JmxRemoteLifecycleListenerのリモートでコードが実行される脆弱性（bsc#1011805）
- CVE-2016-6816：HTTPリクエストで無効な文字を許可することによるHTTPリクエストのスマグリングの脆弱性（bsc#1011812）
修正されたバグ：
- WebAppClassLoaderBase.filter()のStringIndexOutOfBoundsExceptionを修正しました。（bsc#974407）
- context.xml形式をTomcat 8で導入された新しいものに変更することで、サンプルwebappでのデプロイメントエラーを修正しました。（bsc#1004728）
- オプションのsetenv.shスクリプトを有効にしました。http://tomcat.apache.org/tomcat-8.0-doc/RUNNING.txt.(bsc#1002639のセクション「（3.4）「setenv」スクリプトの使用」を参照してください。
- CVE-2016-6816により引き起こされていたリグレッションを修正しました
この更新では、バージョン2の新しいパッケージapache-commons-pool2とapache-commons-dbcpが提供され、tomcatがDBCP 2.0インターフェイスを使用できるようになります。
This update was imported from the SUSE: SLE-12-SP1：Update update project.
ソリューション
影響を受けるtomcatパッケージを更新してください。参考資料
http://tomcat.apache.org/tomcat-8.0-doc/RUNNING.txt.
https://bugzilla.opensuse.org/show_bug.cgi?id=1002639
https://bugzilla.opensuse.org/show_bug.cgi?id=1004728
https://bugzilla.opensuse.org/show_bug.cgi?id=1007853
https://bugzilla.opensuse.org/show_bug.cgi?id=1007854
https://bugzilla.opensuse.org/show_bug.cgi?id=1007855
https://bugzilla.opensuse.org/show_bug.cgi?id=1007857
https://bugzilla.opensuse.org/show_bug.cgi?id=1007858
https://bugzilla.opensuse.org/show_bug.cgi?id=1010893
https://bugzilla.opensuse.org/show_bug.cgi?id=1011805
https://bugzilla.opensuse.org/show_bug.cgi?id=1011812
プラグインの詳細
深刻度: Critical
ID: 95790
ファイル名: openSUSE-2016-1455.nasl
バージョン: 3.11
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2016/12/14
更新日: 2023/5/14
サポートされているセンサー: Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent
リスク情報
VPR
リスクファクター: High
スコア: 7.4
CVSS v2
リスクファクター: High
Base Score: 7.5
Temporal Score: 5.9
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS v3
リスクファクター: Critical
Base Score: 9.8
Temporal Score: 8.8
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:novell:opensuse:apache-commons-dbcp, p-cpe:/a:novell:opensuse:apache-commons-dbcp-javadoc, p-cpe:/a:novell:opensuse:apache-commons-pool2, p-cpe:/a:novell:opensuse:apache-commons-pool2-javadoc, p-cpe:/a:novell:opensuse:tomcat, p-cpe:/a:novell:opensuse:tomcat-admin-webapps, p-cpe:/a:novell:opensuse:tomcat-docs-webapp, p-cpe:/a:novell:opensuse:tomcat-el-3_0-api, p-cpe:/a:novell:opensuse:tomcat-embed, p-cpe:/a:novell:opensuse:tomcat-javadoc, p-cpe:/a:novell:opensuse:tomcat-jsp-2_3-api, p-cpe:/a:novell:opensuse:tomcat-jsvc, p-cpe:/a:novell:opensuse:tomcat-lib, p-cpe:/a:novell:opensuse:tomcat-servlet-3_1-api, p-cpe:/a:novell:opensuse:tomcat-webapps, cpe:/o:novell:opensuse:42.1
必要な KB アイテム: Host/local_checks_enabled, Host/SuSE/release, Host/SuSE/rpm-list
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2016/12/13
CISA の既知の悪用された脆弱性の期限日: 2023/6/2
参照情報
CVE: CVE-2016-0762, CVE-2016-5018, CVE-2016-6794, CVE-2016-6796, CVE-2016-6797, CVE-2016-6816, CVE-2016-8735