リモートホストにインストールされている Apache Tomcat JK Connector (mod_jk) のバージョンは、1.2.46 より前の 1.2.x です。したがって、リクエストされたパスを URI ワーカーマップに一致させる前に正規化した Apache Web サーバー固有のコードの不適切な処理による、アクセスコントロールバイパスの脆弱性の影響を受けます。

スキャナーはこれらの問題を悪用しようとしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

このapache2-mod_jkの更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2018-11759：httpdのHTTPリクエストの不適切な処理によるコネクタパストラバーサルが修正されました（bsc#1114612）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Tomcat Javaサーブレットエンジン用のApache 2コネクターであるlibapache-mod-jkに脆弱性が発見されました。

libapache-mod-jkコネクターは、URL正規化の不適切な処理により、情報漏洩や権限昇格の影響を受けやすくなっています。

修正の性質上、Debian 8「Jessie」のlibapache-mod-jkを最新のアップストリームリリースに更新する必要がありました。参照用に、各リリースバージョンに関連するアップストリームの変更をここで文書化します:

http://tomcat.apache.org/connectors-doc/miscellaneous/changelog.html

Debian 8「Jessie」では、この問題はバージョン1.2.46-0+deb8u1で修正されました。

libapache-mod-jkパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

RHEL 6およびRHEL 7対応のJBoss Core Servicesで更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat JBoss Core Servicesは、Red Hat JBossミドルウェア製品の補足ソフトウェアのセットです。Apache HTTP Serverなどのこのソフトウェアは複数のJBossミドルウェア製品に共通であり、Red Hat JBoss Core Servicesとしてパッケージ化され、更新プログラムの迅速な配信やより一貫した更新が可能です。Red Hat JBoss Core Services Apache HTTP Server 2.4.29 Service Pack 1のこのリリースは、Red Hat JBoss Core Services Apache HTTP Server 2.4.29の更新プログラムとして機能し、「参照」セクションにリンクされたCVEのバグ修正プログラムが含まれています。セキュリティ修正プログラム：* httpd：継続的SETTINGSによるHTTP/2接続のDoS（CVE-2018-11763）* httpd：mod_auth_digestでのWeak Digest認証ノンス（CVE-2018-1312）* httpd：HTTPリクエストの読み取り失敗後の領域外アクセス（CVE-2018-1301）* httpd：HTTP/2ストリームシャットダウンでのメモリ解放後使用（use-after-free）（CVE-2018-1302）* httpd：ファイル名のtrailing newlineを使用したバイパス（CVE-2017-15715）* httpd：過小なAccept-Language値を使用するときのmod_authnz_ldapでの領域外書込み（CVE-2017-15710）* httpd：mod_cache_socacheでの領域外読み取りによってリモートの攻撃者がサービス拒否を引き起こす可能性があります（CVE-2018-1303）* httpd：mod_sessionでヘッダーが不適切に処理されるため、リモートのユーザーがCGIアプリケーションのセッションデータを変更する可能性があります（CVE-2018-1283）* httpd：mod_http2：ワーカーに割り当てられた時間が過多のためDoSが生じる可能性があります（CVE-2018-1333）* mod_jk：httpdでHTTPリクエストが不適切に処理されることによるコネクタパストラバーサル（CVE-2018-11759）* nghttp2：過大なALTSVCフレームを受信するときのNULLポインターデリファレンス（CVE-2018-1000168）* openssl：細工された再帰的なASN.1ストラクチャの処理でスタックオーバーフローが発生し、サービス拒否につながる可能性があります（CVE-2018-0739）CVEに関する情報、問題の重大性、CVSSスコアを含む各問題の詳細については、以下の「参照」セクションに記載されているCVEのページを参照してください。

このapache2-mod_jkの更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2018-11759：httpdのHTTPリクエストの不適切な処理によるコネクタパストラバーサルが修正されました（bsc#1114612）。

この更新プログラムはSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

このapache2-mod_jkの更新では、次の問題を修正します：

修正されたセキュリティ問題：

  - CVE-2018-11759：httpdのHTTPリクエストの不適切な処理によるコネクタパストラバーサルが修正されました（bsc#1114612）。

この更新はSUSEからインポートされました：SLE-15：更新プロジェクトを更新します。

リモートの SUSE Linux SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2023:4513-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - Apache Tomcat JK (mod_jk) Connector 1.2.0 から 1.2.44 の URI ワーカーマップと照合する前に、リクエストされたパスを正規化する、Apache Web Server (httpd) 固有のコードは、一部のエッジケースを正しく処理しませんでした。Tomcat がサポートする URL のサブセットだけが httpd 経由で公開される場合、特別に構築されたリクエストによって、リバースプロキシ経由でアプリケーションにアクセスするクライアントを対象としていないアプリケーションの機能が、リバースプロキシ経由で公開される可能性がありました。また、設定によっては、特別に構築されたリクエストに対して、httpd で設定されたアクセス制御をバイパスすることも可能でした。
    この問題と CVE-2018-1323 には重複する部分もありますが、同一ではありません。(CVE-2018-11759)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

このapache2-mod_jkの更新では、次の問題を修正します：

修正されたセキュリティ問題：

CVE-2018-11759：httpdのHTTPリクエストの不適切な処理によるコネクタパストラバーサルが修正されました（bsc#1114612）。

CVE-2014-8111：Apache Tomcat Connectors（mod_jk）は、以前の JkMount ルールのサブツリーに対する JkUnmount ルールを無視しました。これによりリモートの攻撃者が、詳細不明なベクトルを介して、別の方法で制限されたアーティファクトにアクセスできました（bsc#927845）。

注意：Tenable Network Securityは、前述の記述ブロックをSUSEセキュリティアドバイザリから直接抽出しています。Tenableでは、そこに新しい問題を追加することはせずに、できる限り自動的に整理と書式設定をするようにしています。

Raphael Arrouas氏とJean Lejeune氏は、Tomcat Javaサーブレットエンジン用のApacheコネクターであるmod_jkに、アクセス制御バイパスの脆弱性を発見しました。この脆弱性には、mod_jkを新しいアップストリームバージョン1.2.46にアップグレードすることで対処します。これには、その他の変更も含まれています。

  -https://tomcat.apache.org/connectors-doc/miscellaneous/changelog.html#Changes_between_1.2.42_and_1.2.43
  -https://tomcat.apache.org/connectors-doc/miscellaneous/changelog.html#Changes_between_1.2.43_and_1.2.44

  -https://tomcat.apache.org/connectors-doc/miscellaneous/changelog.html#Changes_between_1.2.44_and_1.2.45

  -https://tomcat.apache.org/connectors-doc/miscellaneous/changelog.html#Changes_between_1.2.45_and_1.2.46

ID	名前	製品	ファミリー	公開日	更新日	深刻度
98522	Apache Tomcat JK Connector 1.2.x < 1.2.46 のアクセスコントロールバイパス	Web App Scanning	Component Vulnerability	2019/3/25	2023/3/14	high
119333	SUSE SLES12セキュリティ更新プログラム：apache2-mod_jk（SUSE-SU-2018:3963-1）	Nessus	SuSE Local Security Checks	2018/12/4	2020/6/12	high
125666	SUSE SLES12セキュリティ更新プログラム：apache2-mod_jk (SUSE-SU-2018:3963-2)	Nessus	SuSE Local Security Checks	2019/6/3	2024/5/17	high
119729	Debian DLA-1609-1: libapache-mod-jk のセキュリティ更新	Nessus	Debian Local Security Checks	2018/12/18	2021/1/11	high
122292	RHEL 6/7：Red Hat JBoss Core Services Apache HTTP Server 2.4.29（RHSA-2019:0367）	Nessus	Red Hat Local Security Checks	2019/2/19	2020/2/12	critical
119543	openSUSEセキュリティ更新プログラム：apache2-mod_jk（openSUSE-2018-1510）	Nessus	SuSE Local Security Checks	2018/12/10	2021/1/19	high
123393	openSUSEセキュリティ更新プログラム：apache2-mod_jk (openSUSE-2019-970)	Nessus	SuSE Local Security Checks	2019/3/27	2021/1/19	high
186158	SUSE SLES15 / openSUSE 15 セキュリティ更新: apache2-mod_jk（SUSE-SU-2023:4513-1）	Nessus	SuSE Local Security Checks	2023/11/22	2023/11/22	high
119336	SUSE SLES11セキュリティ更新プログラム：apache2-mod_jk（SUSE-SU-2018:3970-1）	Nessus	SuSE Local Security Checks	2018/12/4	2021/1/19	high
119850	Debian DSA-4357-1: libapache-mod-jk - セキュリティ更新	Nessus	Debian Local Security Checks	2018/12/24	2020/3/25	high
120175	SUSE SLES15セキュリティ更新プログラム：apache2-mod_jk（SUSE-SU-2018:3969-1）	Nessus	SuSE Local Security Checks	2019/1/2	2020/3/16	high

検出

プラグインの検索

high

high

high

high

critical

high

high

high

high

high

high