tomcat 用のこの更新は、次の問題を修正します：

Feature changes :

組み込みのApache Commons DBCPコンポーネントがバージョン2.0に更新されました。
(bsc#1010893 fate#321029)

セキュリティ修正：

  - CVE-2016-0762：タイミング攻撃bsc#1007854

  - CVE-2016-5018：セキュリティマネージャーバイパス（bsc#1007855）

  - CVE-2016-6794：システムプロパティの漏洩（bsc#1007857）

  - CVE-2016-6796：セキュリティマネージャーバイパス（bsc#1007858）

  - CVE-2016-6797：グローバルリソースへの無制限アクセス（bsc#1007853）

  - CVE-2016-8735：JmxRemoteLifecycleListenerのリモートでコードが実行される脆弱性（bsc#1011805）

  - CVE-2016-6816：HTTPリクエストで無効な文字を許可することによるHTTPリクエストのスマグリングの脆弱性（bsc#1011812）

バグ修正：

  - オプションのsetenv.shスクリプトを有効にしました。http://tomcat.apache.org/tomcat-8.0-doc/RUNNING.txt.(bsc#1002639のセクション「（3.4）「setenv」スクリプトの使用」を参照してください。

この更新プログラムでは、バージョン2の新しいパッケージapache-commons-pool2とapache-commons-dbcpが提供され、tomcatがDBCP 2.0 インターフェイスを使用できるようになります。

This update was imported from the SUSE: SLE-12-SP2：Update update project.

Red Hat JBoss Enterprise Application Platform 6.4の更新プログラムが、Red Hat Enterprise Linux 6で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 6.4.16のこのリリースは、Red Hat JBoss Enterprise Application Platform 6.4.15に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正プログラムと拡張機能が含まれています。セキュリティ修正プログラム：* Red Hat JBoss Enterprise Application 6および7のログファイルビューアーでは、パストラバーサルを介して認証されたユーザーが任意のファイルを読み取る可能性があることがわかりました。（CVE-2017-2595）* 悪意のあるWebアプリケーションが、Webアプリケーションにアクセス可能なTomcatユーティリティメソッドを介して、設定されたSecurityManagerをバイパスする可能性があることがわかりました。（CVE-2016-5018）* 悪意のあるWebアプリケーションが、JSP Servletの構成パラメーターを操作して設定されたSecurityManagerをバイパスする可能性があることがわかりました。（CVE-2016-6796）

Red Hat JBoss Enterprise Application Platform 6.4の更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Enterprise Application Platformは、JBoss Application ServerをベースにしたJavaアプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 6.4.16のこのリリースは、Red Hat JBoss Enterprise Application Platform 6.4.15に置き換わるものとして機能し、「参照」でリンクされているリリースノートに記載されているバグ修正プログラムと拡張機能が含まれています。セキュリティ修正プログラム：* Red Hat JBoss Enterprise Application 6および7のログファイルビューアーでは、パストラバーサルを介して認証されたユーザーが任意のファイルを読み取る可能性があることがわかりました。（CVE-2017-2595）* 悪意のあるWebアプリケーションが、Webアプリケーションにアクセス可能なTomcatユーティリティメソッドを介して、設定されたSecurityManagerをバイパスする可能性があることがわかりました。（CVE-2016-5018）* 悪意のあるWebアプリケーションが、JSP Servletの構成パラメーターを操作して設定されたSecurityManagerをバイパスする可能性があることがわかりました。（CVE-2016-6796）

更新プログラムが、RHEL 7対応のRed Hat JBoss Web Server 3で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Web Serverは、Java Webアプリケーションをホスティングするための完全に統合され認定されたコンポーネントのセットです。これは、Apache HTTP Server、Apache Tomcatサーブレットコンテナ、Apache Tomcatコネクタ（mod_jk）、JBoss HTTPコネクタ（mod_cluster）、Hibernate、Tomcat Nativeライブラリで構成されています。Red Hat JBoss Web Server 3.1.0のこのリリースは、Red Hat JBoss Web Server 3.0.3を置換するものとして機能し、拡張機能が含まれています。セキュリティ修正プログラム：Tomcatのinitスクリプトが安全でないファイル処理を実行していることが報告されました。これにより、ローカルの権限昇格が発生する可能性があります。（CVE-2016-1240）* Tomcatパッケージにインストールされている特定の設定ファイルが、tomcatグループに対して書き込み可能なファイルとしてTomcat初期化スクリプトで読み込まれることがわかりました。グループのメンバーまたはTomcatに導入された悪意のあるWebアプリケーションが、この欠陥を利用して権限を昇格させる可能性があります。（CVE-2016-6325）* JmxRemoteLifecycleListenerは、CVE-2016-3427のOracleの修正を考慮して更新されていませんでした。JMXRemoteLifecycleListenerは、EWS 2.xおよびJWS 3.xソースディストリビューションにのみ含まれています。EWS 2.xまたはJWS 3.xディストリビューションを使用し、ソースから構築されたTomcatインスタンスを展開する場合、攻撃者がこの欠陥を利用して、展開されたインスタンスに対してリモートでコードが実行される攻撃を開始する可能性があります。（CVE-2016-8735）Commons FileUploadにサービス拒否の脆弱性が見つかりました。これは、マルチパート境界が通常のように数十バイトの長さで、境界の長さが、アップロードされたファイルの読み取りに使用するバッファサイズ（4096バイト）未満である場合に発生しました。（CVE-2016-3092）* HTTPリクエスト行を解析したコードが無効な文字を許可していたことがわかりました。これは、無効な文字は許可されているが解釈が異なるプロキシと組み合わせて、HTTP応答にデータを挿入するために悪用される可能性があります。HTTP応答を操作することにより、攻撃者がWebキャッシュを害したり、XSS攻撃を実行したり、自分以外のリクエストから秘密情報を取得したりする可能性があります。（CVE-2016-6816）* NIO HTTPコネクタの送信ファイルコードのエラー処理でバグが発見されました。これにより、現在のプロセッサーオブジェクトがプロセッサーキャッシュに複数回追加され、セッションIDやレスポンスボディを含むリクエスト間の情報漏えいが生じる可能性があります。（CVE-2016-8745）* 入力されたユーザー名が存在しない場合、Realmの実装は入力されたパスワードを処理しませんでした。これにより、有効なユーザー名を決定するタイミング攻撃が可能になりました。デフォルトの構成には、この脆弱性の悪用を困難にするLockOutRealmが含まれています。（CVE-2016-0762）* 悪意のあるWebアプリケーションが、Webアプリケーションにアクセス可能なTomcatユーティリティメソッドを介して、設定されたSecurityManagerをバイパスする可能性があることがわかりました。（CVE-2016-5018）* SecurityManagerが設定されているときに、構成ファイル用のTomcatのシステムプロパティ置換機能が悪意のあるWebアプリケーションによって使用され、SecurityManagerをバイパスし、本来表示されるべきではないシステムプロパティを読み取る可能性があることがわかりました。（CVE-2016-6794）* 悪意のあるWebアプリケーションが、JSP Servletの構成パラメーターを操作して構成済みのSecurityManagerをバイパスする可能性があることがわかりました。（CVE-2016-6796）* 明示的なResourceLinkが設定されているかどうかに関係なく、Webアプリケーションが任意のグローバルJNDIリソースにアクセスする可能性があることがわかりました。（CVE-2016-6797）CVE-2016-6325の問題は、Red Hat製品セキュリティによって発見されました。拡張機能：*この拡張機能の更新プログラムは、Red Hat Enterprise Linux 7にRed Hat JBoss Webサーバー3.1.0パッケージを追加します。これらのパッケージは、以前のバージョンのRed Hat JBoss Web Serverに対して多くの拡張機能を提供します。（JIRA#JWS-268）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
95791	openSUSEセキュリティ更新プログラム：tomcat（openSUSE-2016-1456）	Nessus	SuSE Local Security Checks	2016/12/14	2023/5/14	critical
100981	RHEL 6：JBoss EAP（RHSA-2017:1549）	Nessus	Red Hat Local Security Checks	2017/6/22	2019/10/24	high
112260	RHEL 7：JBoss EAP（RHSA-2017:1548）	Nessus	Red Hat Local Security Checks	2018/9/4	2024/8/12	critical
97596	RHEL 7：Red Hat JBoss Web Server 3.1.0（RHSA-2017:0456）	Nessus	Red Hat Local Security Checks	2017/3/8	2023/5/14	critical

検出

プラグインの検索

critical

high

critical

critical