この更新は、tomcat 8.0.36から8.0.38までのリベース含みます。これにより、複数のCVEや8.0.37がfreeipaにもたらす問題を解決します。

  - rhbz#1375581 - CVE-2016-5388 Tomcat：CGIは、ユーザー指定のプロキシリクエストヘッダーに基づいて、環境変数を設定します

  - rhbz#1390532 - CVE-2016-0762 CVE-2016-5018 CVE-2016-6794 CVE-2016-6796 CVE-2016-6797 tomcat：様々な欠陥

1つのバグ修正とともに、2つの追加のCVE修正が含まれています：

  - rhbz#1383210 - CVE-2016-5425 tomcat：systemd-tmpfilesサービスによるローカルの権限昇格

  - rhbz#1383216 - CVE-2016-6325 tomcat：tomcatの書き込み可能な構成ファイルにより権限昇格が可能になります

  - rhbz#1370262 -catalina.outはもはやメインパッケージで使用されませんが、依然としてローテーションされます

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

セキュリティ修正プログラム:

  - Tomcatパッケージにインストールされている特定の設定ファイルが、tomcatグループに対して書き込み可能なファイルとしてTomcat初期化スクリプトで読み込まれることがわかりました。
    グループのメンバーまたはTomcatに導入された悪意のあるWebアプリケーションが、この欠陥を利用して権限を昇格させる可能性があります。（CVE-2016-6325）

  - いくつかのTomcatセッション維持メカニズムにより、認証されたリモートのユーザーが意図されたSecurityManager制限をバイパスしたり、セッションに細工されたオブジェクトを配置するWebアプリケーションを介して権限のあるコンテキスト内で任意のコードを実行したりする可能性があることがわかりました。
    (CVE-2016-0714)

  - TomcatがHTTPリクエストからのProxyヘッダーの値を使用してCGIスクリプトのHTTP_PROXY環境変数を初期化しており、特定のHTTPクライアント実装により、発信HTTPリクエストのプロキシを構成するため不適切に使用されることがわかりました。リモートの攻撃者がこの欠陥を利用して、悪意のあるHTTPリクエストを通じて、CGIスクリプトにより実行されるHTTPリクエストを、攻撃者が制御するプロキシにリダイレクトする可能性があります。（CVE-2016-5388）

  - ディレクトリトラバーサルの欠陥がTomcatのRequestUtil.javaで見つかりました。認証されたリモートのユーザーがこの欠陥を悪用し、意図されたSecurityManager制限をバイパスし、$CATALINA_BASE/webappsディレクトリが示すとおり、getResource、getResourceAsStream、またはgetResourcePathsのコールのWebアプリケーションが使用するパス名の「/..」を通じて親ディレクトリを一覧表示する可能性があります。
    （CVE-2015-5174）

  - ディレクトリがセキュリティの制約により保護されているときでも、Tomcatがディレクトリの存在を明らかにする可能性があることがわかりました。ユーザーがスラッシュで終了していないURLでディレクトリに対してリクエストを行い、Tomcatがそのリクエストをリダイレクトするかどうかに基づいて、そのディレクトリの存在を確認する可能性があります。
    （CVE-2015-5345）

  - セキュリティマネージャーが構成されるときに、TomcatがStatusManagerServletをWebアプリケーションにより読み込む可能性があることがわかりました。これにより、Webアプリケーションが導入されたすべてのWebアプリケーションを一覧表示し、セッションIDなどの秘密情報を漏洩させることが可能でした。
    （CVE-2016-0706）

バグ修正プログラム:

  - tomcat6仕様ファイルのバグにより、インストール時にcatalina.outファイルのmd5sum、size、mtimeの属性がファイルの属性と比較されていました。これらの属性はサービスの開始後に変更されるため、以前は「rpm -V」コマンドが失敗していました。この更新により、上記の属性はRPM検証で無視され、catalina.outファイルが検証チェックに合格するようになりました。

リモート Redhat Enterprise Linux 6 ホストに、RHSA-2017:0455 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - tomcat: Realm 実装でのタイミング攻撃 (CVE-2016-0762)

  - tomcat: tomcat init スクリプトでの catalina.log の安全でない chown により、権限昇格が引き起こされる可能性があります (CVE-2016-1240)

  - tomcat: 脆弱な FileUpload パッケージを使用するとサービス拒否が発生する可能性があります (CVE-2016-3092)

  - tomcat: IntrospectHelper ユーティリティ関数によるセキュリティマネージャーのバイパス (CVE-2016-5018)

  - tomcat: tomcat の書き込み可能な設定ファイルにより権限昇格が可能になります (CVE-2016-6325)

  - tomcat: システムプロパティの漏洩 (CVE-2016-6794)

  - tomcat: JSP Servlet 設定パラメーターによるセキュリティマネージャーのバイパス (CVE-2016-6796)

  - tomcat: グローバルリソースへの無制限アクセス (CVE-2016-6797)

  - tomcat: HTTP リクエストで無効な文字を許可することによる HTTP リクエストのスマグリングの脆弱性 (CVE-2016-6816)

  - tomcat: JmxRemoteLifecycleListener のリモートでコードが実行される脆弱性 (CVE-2016-8735)

  - tomcat: 不適切なプロセッサの共有による情報漏洩 (CVE-2016-8745)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Tomcat 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。安全修复：* 已发现 Tomcat 程序包安装的配置文件 /usr/lib/tmpfiles.d/tomcat.conf，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-5425) * 已发现 Tomcat 程序包安装的由 Tomcat 初始化脚本读取的某些配置文件，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-6325) * 已发现表达式语言解析器对特权代码部分内的表达式求值。恶意 Web 应用程序可利用此缺陷绕过安全管理器保护。(CVE-2014-7810) * 已发现 tomcat 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5388) * 在 Tomcat 回收 requestedSessionSSL 字段的方式中发现会话固定缺陷。如果至少有一个 Web 应用程序配置为使用 SSL 会话 ID 作为 HTTP 会话 ID，则攻击者可重复使用之前用过的会话 ID 来提出进一步请求。(CVE-2015-5346) Red Hat 在此感谢 Dawid Golunski (http://legalhackers.com) 报告 CVE-2016-5425 以及 Scott Geary (VendHQ) 报告 CVE-2016-5388。CVE-2016-6325 问题由 Red Hat 产品安全团队发现。

安全修复：- 已发现 Tomcat 程序包安装的由 Tomcat 初始化脚本读取的某些配置文件，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-6325) - 已发现多个 Tomcat 会话持久性机制可允许经身份验证的远程用户通过 Web 应用程序，在会话中放置构建的对象，绕过预期的 SecurityManager 限制，并在特权环境中执行任意代码。(CVE-2016-0714) - 已发现 tomcat 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5388) - 在 Tomcat 的 RequestUtil.java 中发现目录遍历缺陷。经身份验证的远程用户可利用此缺陷，绕过预期 SecurityManager 限制，并通过 Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名的“/..”来列出父目录，$CATALINA_BASE/webapps 目录即为一例。(CVE-2015-5174) - 已发现即使目录受到安全限制保护，Tomcat 仍可泄露该目录的存在。用户可通过不以斜线结尾的 URL 来请求某目录，且可确认该目录是否存在（根据 Tomcat 是否重定向该请求）。(CVE-2015-5345) - 已发现当配置了安全管理员时，Tomcat 允许 Web 应用程序加载 StatusManagerServlet。这允许 Web 应用程序列出所有已部署的 Web 应用程序，并泄露会话 ID 等敏感信息。(CVE-2016-0706) 缺陷修复：- 由于 tomcat6 规范文件中的缺陷，所以在安装时会将 catalina.out 文件的 md5sum、大小、mtime 属性与该文件属性进行比较。由于这些属性在服务开始后发生更改，所以之前的“rpm -V”命令失败。通过此更新，在 RPM 验证中会忽略上述属性，且 catalina.out 文件现已通过验证检查。

远程 Redhat Enterprise Linux 6 主机上安装的程序包受到 RHSA-2017:0455 公告中提及的多个漏洞影响。

  - tomcat：Realm 实现中的时序攻击 (CVE-2016-0762)

  - tomcat：tomcat init 脚本中 catalina.log 不安全的 chown 允许权限升级 (CVE-2016-1240)

  - tomcat：使用有漏洞的 FileUpload 程序包可导致拒绝服务 (CVE-2016-3092)

  - tomcat：通过 IntrospectHelper 实用工具函数的安全管理器绕过 (CVE-2016-5018)

  - tomcat：tomcat 可写配置文件允许特权升级 (CVE-2016-6325)

  - tomcat：系统属性泄露 (CVE-2016-6794)

  - tomcat：通过 JSP Servlet 配置参数的安全管理器绕过 (CVE-2016-6796)

  - tomcat：不受限制访问全局资源 (CVE-2016-6797)

  - tomcat：HTTP 请求走私漏洞由在 HTTP 请求中允许无效字符所致 (CVE-2016-6816)

  - tomcat：JmxRemoteLifecycleListener 中的远程代码执行漏洞 (CVE-2016-8735)

  - tomcat：由于处理器共享不正确导致的信息泄露 (CVE-2016-8745)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
94997	Fedora 25：1: tomcat（2016-38e5b05260）（httpoxy）	Nessus	Fedora Local Security Checks	2016/11/21	2021/1/11	high
94004	Scientific Linux セキュリティ更新: SL6.xのtomcat6（noarch）（20161010）（httpoxy）	Nessus	Scientific Linux Local Security Checks	2016/10/12	2021/1/14	high
97595	RHEL 6 : Red Hat JBoss Web Server 3.1.0 (RHSA-2017:0455)	Nessus	Red Hat Local Security Checks	2017/3/8	2024/4/24	critical
93966	CentOS 7 : tomcat (CESA-2016:2046) (httpoxy)	Nessus	CentOS Local Security Checks	2016/10/12	2021/1/4	high
94004	Scientific Linux 安全更新：SL6.x 中的 tomcat6 (noarch) (httpoxy)	Nessus	Scientific Linux Local Security Checks	2016/10/12	2021/1/14	high
97595	RHEL 6：Red Hat JBoss Web Server 3.1.0 (RHSA-2017:0455)	Nessus	Red Hat Local Security Checks	2017/3/8	2024/4/24	critical

検出

プラグインの検索

high

high

critical

high

high

critical