ユーザー名が存在しない場合、Tomcatレルムの実装でパスワードが正しく処理されていないことがわかりました。リモートの攻撃者が、この問題を悪用して、ユーザー名を列挙する可能性があります。この問題により影響を受けるのは、Ubuntu 12.04 LTS、Ubuntu 14.04 LTS、Ubuntu 16.04 LTSのみです。
(CVE-2016-0762)

Alvaro Munoz氏とAlexander Mirosh氏は、Tomcatが特定のユーティリティメソッドの使用を誤って制限していることを発見しました。悪意のあるアプリケーションがこれを利用してSecurity Managerの制限をバイパスする可能性があります。この問題により影響を受けるのは、Ubuntu 12.04 LTS、Ubuntu 14.04 LTS、Ubuntu 16.04 LTS のみです。(CVE-2016-5018)

Tomcatは、HTTP_PROXY環境変数の信頼できないデータからアプリケーションを保護していないことがわかりました。リモートの攻撃者がこの問題を悪用して、アウトバウンドトラフィックを任意のプロキシサーバーにリダイレクトする可能性があります。この問題により影響を受けるのは、Ubuntu 12.04 LTS、Ubuntu 14.04 LTS、Ubuntu 16.04 LTS のみです。(CVE-2016-5388)

Tomcatが読み込みシステムのプロパティを不適切に制御していることがわかりました。悪意のあるアプリケーションがこれを利用してSecurity Managerの制限をバイパスする可能性があります。この問題により影響を受けるのは、Ubuntu 12.04 LTS、Ubuntu 14.04 LTS、Ubuntu 16.04 LTS のみです。(CVE-2016-6794)

Tomcatが特定の構成パラメーターを不適切に制御していることがわかりました。悪意のあるアプリケーションがこれを利用してSecurity Managerの制限をバイパスする可能性があります。この問題により影響を受けるのは、Ubuntu 12.04 LTS、Ubuntu 14.04 LTS、Ubuntu 16.04 LTSのみです。
(CVE-2016-6796)

TomcatがグローバルJNDIリソースへのアクセスを不適切に制限していることがわかりました。悪意のあるアプリケーションが、これを悪用して、明示的なResourceLinkなしで、任意のグローバルJNDIリソースにアクセスする可能性があります。この問題により影響を受けるのは、Ubuntu 12.04 LTS、Ubuntu 14.04 LTS、Ubuntu 16.04 LTSのみです。
(CVE-2016-6797)

Regis Leroy氏は、TomcatがHTTPリクエスト行から特定の無効な文字を不適切にフィルターすることを発見しました。リモートの攻撃者がこの問題を悪用して、HTTP応答にデータを挿入する可能性があります。
(CVE-2016-6816)

Pierre Ernst氏は、Tomcat JmxRemoteLifecycleListenerが推奨された修正を実行していないことを発見しました。リモートの攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。(CVE-2016-8735)

Tomcatが送信ファイルコードでエラー処理を不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用して、その他のリクエストから情報にアクセスする可能性があります。(CVE-2016-8745)

Paul Szabo氏は、Tomcatパッケージがアップグレードと削除を不適切に処理することを発見しました。ローカルの攻撃者がこの問題を悪用して、root 権限を取得する可能性があります。(CVE-2016-9774、CVE-2016-9775)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Tomcat サーブレットと JSP エンジン、およびその Debian 固有のメンテナースクリプトに複数のセキュリティ脆弱性が発見されました。これらの欠陥により、権限昇格、情報漏洩、およびリモートのコードの実行が発生する可能性があります。この更新の一部として、以前の脆弱性の不完全な修正に起因するいくつかの回帰も修正されています。

USN-3177-1 で Tomcat の脆弱性が修正されました。このアップデートでは、Tomcatがセキュリティマネージャーと共に起動される環境でリグレッションが引き起こされます。この更新プログラムにより問題が修正されます。

ご不便をお掛けして申し訳ございません。

ユーザー名が存在しない場合、Tomcatレルムの実装でパスワードが正しく処理されていないことがわかりました。リモートの攻撃者が、この問題を悪用して、ユーザー名を列挙する可能性があります。この問題により影響を受けるのは、Ubuntu 12.04 LTS、Ubuntu 14.04 LTS、Ubuntu 16.04 LTSのみです。
(CVE-2016-0762)

Alvaro Munoz氏とAlexander Mirosh氏は、Tomcatが特定のユーティリティメソッドの使用を誤って制限していることを発見しました。悪意のあるアプリケーションがこれを利用してSecurity Managerの制限をバイパスする可能性があります。この問題により影響を受けるのは、Ubuntu 12.04 LTS、Ubuntu 14.04 LTS、Ubuntu 16.04 LTSのみです。
(CVE-2016-5018)

Tomcatは、HTTP_PROXY環境変数の信頼できないデータからアプリケーションを保護していないことがわかりました。
リモートの攻撃者がこの問題を悪用して、アウトバウンドトラフィックを任意のプロキシサーバーにリダイレクトする可能性があります。この問題により影響を受けるのは、Ubuntu 12.04 LTS、Ubuntu 14.04 LTS、Ubuntu 16.04 LTS のみです。(CVE-2016-5388)

Tomcatが読み込みシステムのプロパティを不適切に制御していることがわかりました。悪意のあるアプリケーションがこれを利用してSecurity Managerの制限をバイパスする可能性があります。この問題により影響を受けるのは、Ubuntu 12.04 LTS、Ubuntu 14.04 LTS、Ubuntu 16.04 LTS のみです。(CVE-2016-6794)

Tomcatが特定の構成パラメーターを不適切に制御していることがわかりました。悪意のあるアプリケーションがこれを利用してSecurity Managerの制限をバイパスする可能性があります。
この問題により影響を受けるのは、Ubuntu 12.04 LTS、Ubuntu 14.04 LTS、Ubuntu 16.04 LTS のみです。(CVE-2016-6796)

TomcatがグローバルJNDIリソースへのアクセスを不適切に制限していることがわかりました。悪意のあるアプリケーションが、これを悪用して、明示的なResourceLinkなしで、任意のグローバルJNDIリソースにアクセスする可能性があります。この問題により影響を受けるのは、Ubuntu 12.04 LTS、Ubuntu 14.04 LTS、Ubuntu 16.04 LTS のみです。(CVE-2016-6797)

Regis Leroy氏は、TomcatがHTTPリクエスト行から特定の無効な文字を不適切にフィルターすることを発見しました。リモートの攻撃者がこの問題を悪用して、HTTP 応答にデータを挿入する可能性があります。(CVE-2016-6816)

Pierre Ernst氏は、Tomcat JmxRemoteLifecycleListenerが推奨された修正を実行していないことを発見しました。リモートの攻撃者がこの問題を悪用して、任意のコードを実行する可能性があります。(CVE-2016-8735)

Tomcatが送信ファイルコードでエラー処理を不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用して、その他のリクエストから情報にアクセスする可能性があります。(CVE-2016-8745)

Paul Szabo氏は、Tomcatパッケージがアップグレードと削除を不適切に処理することを発見しました。ローカルの攻撃者がこの問題を悪用して、root権限を取得する可能性があります。
(CVE-2016-9774、CVE-2016-9775)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Paul Szabo 氏は、DLA-622-1 に予想される状況で悪用される可能性のある権限昇格を発見しました。この更新は、CVE-2015-5345、CVE-2016-5018、および CVE-2016-6797 の不完全な修復に起因するいくつかの回帰も修正します。Debian 7 'Wheezy' では、これらの問題はバージョン 7.0.28-4+deb7u8 で修正されています。tomcat7 パッケージをアップグレードすることを推奨します。注 : Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
96720	Ubuntu 14.04LTS / 16.04LTS: Tomcat の脆弱性 (USN-3177-1)	Nessus	Ubuntu Local Security Checks	2017/1/24	2023/10/20	critical
96017	Debian DSA-3738-1 : tomcat7 - セキュリティ更新	Nessus	Debian Local Security Checks	2016/12/20	2023/5/14	critical
96978	Ubuntu 14.04 LTS : Tomcat のリグレッション (USN-3177-2)	Nessus	Ubuntu Local Security Checks	2017/2/3	2023/10/20	critical
96014	Debian DLA-753-1 : tomcat7 セキュリティ更新	Nessus	Debian Local Security Checks	2016/12/20	2021/1/11	high
96018	Debian DSA-3739-1 : tomcat8 - セキュリティ更新	Nessus	Debian Local Security Checks	2016/12/20	2023/5/14	critical

検出

プラグインの検索

critical

critical

critical

high

critical