NIO HTTP コネクターにおける送信ファイルコードのエラー処理のバグにより、現在のプロセッサーオブジェクトがプロセッサーキャッシュに複数回追加されました。これは、同じプロセッサーを同時リクエストに使用される可能性があるということです。プロセッサーを共有すると、セッション ID や応答本体などの情報がリクエスト間で漏洩する可能性があります。さらに、この更新は、CVE-2016-6816 の不完全な修正が原因である SecurityManager が有効になっている状態で Tomcat 7 を実行する際の回帰にも対応しています。Debian 7 'Wheezy' では、これらの問題はバージョン 7.0.28-4+deb7u9 で修正されています。tomcat7 パッケージをアップグレードすることを推奨します。注 : Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

検出

Debian DLA-779-1 : tomcat7 セキュリティ更新

high Nessus プラグイン ID 96396

バージョン 3.10