tomcat6-6.0.24-98.AXS4
エラータID: AXSA:2016-705:03
[修正内容]
以下項目について対処しました。
[Security Fix]
- Apache Tomcat の RequestUtil.java には、ディレクトリトラバーサルの脆弱性が存在し、getResource、getResourceAsStream、
あるいは getResourcePaths コールの Web アプリケーションで使用されるパス名に含まれる /.. (スラッシュドットドット) によって、
リモートの認証されたユーザが SecurityManager 制限を回避し、親ディレクトリをリストする脆弱性があります。(CVE-2015-5174)
- Apache Tomcat の Mapper コンポーネントは、セキュリティー制約およびフィルタを考慮する前にリダイレクト処理を行っており、
末尾の / (スラッシュ) 文字を欠いた URL によって、リモートの攻撃者がディレクトリの存在を特定する脆弱性があります。 (CVE-2015-5345)
- Apache Tomcat は、org.apache.catalina.manager.StatusManagerServlet をorg/apache/catalina/core/RestrictedServlets.properties
リスト上に配置しておらず、巧妙に細工された Web アプリケーションによって、リモートの認証されたユーザが SecurityManager
制限を回避し、 任意の HTTP リクエストを読み込み、その結果、セッション ID の値を取得する脆弱性があります。(CVE-2016-0706)
- Apache Tomcat の session-persistence の実装は、セッションの属性を誤って処理しており、巧妙に細工されたオブジェクトを
セッションに配置する Web アプリケーションによって、リモートの認証されたユーザが SecurityManager 制限を回避し、
特権付きコンテキスト内で任意のコードを実行する脆弱性があります。(CVE-2016-0714)
- Apache Tomcat は、CGI サーブレットが有効になっている場合、 RFC 3875 セクション 4.1.18 に準拠するため、
HTTP_PROXY 環境変数の信頼できないクライアントデータの存在からアプリケーションを保護しておらず、
リモートの攻撃者が、HTTP リクエストの巧妙に細工された Proxy ヘッダによって、任意のプロキシサーバに
アプリケーションのアウトバウンド HTTP トラフィックをリダイレクトする脆弱性があります。 (CVE-2016-5388)
- Tomcat パッケージは (1) /etc/sysconfig/tomcat と (2) /etc/tomcat/tomcat.conf に弱いパーミッショ
ンを使用しており,あるいは tomcat グループのメンバを使用することによって,ローカルのユーザが権限を得る
脆弱性があります。(CVE-2016-6325)
一部CVEの翻訳文はJVNからの引用になります。
http://jvndb.jvn.jp/
パッケージをアップデートしてください。
Directory traversal vulnerability in RequestUtil.java in Apache Tomcat 6.x before 6.0.45, 7.x before 7.0.65, and 8.x before 8.0.27 allows remote authenticated users to bypass intended SecurityManager restrictions and list a parent directory via a /.. (slash dot dot) in a pathname used by a web application in a getResource, getResourceAsStream, or getResourcePaths call, as demonstrated by the $CATALINA_BASE/webapps directory.
The Mapper component in Apache Tomcat 6.x before 6.0.45, 7.x before 7.0.68, 8.x before 8.0.30, and 9.x before 9.0.0.M2 processes redirects before considering security constraints and Filters, which allows remote attackers to determine the existence of a directory via a URL that lacks a trailing / (slash) character.
Apache Tomcat 6.x before 6.0.45, 7.x before 7.0.68, 8.x before 8.0.31, and 9.x before 9.0.0.M2 does not place org.apache.catalina.manager.StatusManagerServlet on the org/apache/catalina/core/RestrictedServlets.properties list, which allows remote authenticated users to bypass intended SecurityManager restrictions and read arbitrary HTTP requests, and consequently discover session ID values, via a crafted web application.
The session-persistence implementation in Apache Tomcat 6.x before 6.0.45, 7.x before 7.0.68, 8.x before 8.0.31, and 9.x before 9.0.0.M2 mishandles session attributes, which allows remote authenticated users to bypass intended SecurityManager restrictions and execute arbitrary code in a privileged context via a web application that places a crafted object in a session.
Apache Tomcat 7.x through 7.0.70 and 8.x through 8.5.4, when the CGI Servlet is enabled, follows RFC 3875 section 4.1.18 and therefore does not protect applications from the presence of untrusted client data in the HTTP_PROXY environment variable, which might allow remote attackers to redirect an application's outbound HTTP traffic to an arbitrary proxy server via a crafted Proxy header in an HTTP request, aka an "httpoxy" issue. NOTE: the vendor states "A mitigation is planned for future releases of Tomcat, tracked as CVE-2016-5388"; in other words, this is not a CVE ID for a vulnerability.
The Tomcat package on Red Hat Enterprise Linux (RHEL) 5 through 7, JBoss Web Server 3.0, and JBoss EWS 2 uses weak permissions for (1) /etc/sysconfig/tomcat and (2) /etc/tomcat/tomcat.conf, which allows local users to gain privileges by leveraging membership in the tomcat group.
N/A
SRPMS
- tomcat6-6.0.24-98.AXS4.src.rpm
MD5: 70600565d6cc370b20b055508132fee9
SHA-256: f7b113dcbd1387cce7396b0b44911265234d766d85da19d22c4a355a0b51d649
Size: 3.63 MB
Asianux Server 4 for x86
- tomcat6-6.0.24-98.AXS4.noarch.rpm
MD5: 7bb8cf75caf9428cbaab5ba2e8af8414
SHA-256: d9edba25d7e5b6245611f083dfd6e4bef8f7b8f2e595c7cc6b017a63c9fe9be6
Size: 93.98 kB - tomcat6-el-2.1-api-6.0.24-98.AXS4.noarch.rpm
MD5: cb76e507343a9ceb1ec703f9feabb17d
SHA-256: a7c057602f2206305b394e5e502b0291a142c5e4e334ae85e20115331dcf1a08
Size: 49.84 kB - tomcat6-jsp-2.1-api-6.0.24-98.AXS4.noarch.rpm
MD5: 443b328b0f7d84d7475e3e19ac3504bb
SHA-256: 332b4780cf126910378d985101b2cefce11484598cc147f28277c434a8c3b69c
Size: 86.29 kB - tomcat6-lib-6.0.24-98.AXS4.noarch.rpm
MD5: aadc89e90cc1a84c2294ed26860196ca
SHA-256: 488a64a4b57df685f52c90e01e439a505a62728fd9e81e3b39d5076aeb95c781
Size: 2.91 MB - tomcat6-servlet-2.5-api-6.0.24-98.AXS4.noarch.rpm
MD5: bad9cb028b87dd51481f8749977ae328
SHA-256: 0c92f90818b29af9f946a262736969536ad588f17d02a173d51d05fc629efa9d
Size: 120.32 kB
Asianux Server 4 for x86_64
- tomcat6-6.0.24-98.AXS4.noarch.rpm
MD5: c0289fb4c81427b0719a973ba4fb3d67
SHA-256: fae387729295c16835b7d45d726eb23d5ebb34269b26498addbf64edc92c44c4
Size: 93.54 kB - tomcat6-el-2.1-api-6.0.24-98.AXS4.noarch.rpm
MD5: 1ffcac3c23fd34b0825ff81df0ff73e1
SHA-256: 8e66588fd4334e233386a1fd50f93a9773bb7e0be97e137db67b06bb25fb9764
Size: 49.38 kB - tomcat6-jsp-2.1-api-6.0.24-98.AXS4.noarch.rpm
MD5: 48cec9de28d855791995eb52cc3f8ee4
SHA-256: f29bdb7454cb7044a1343f61ae662bc1897d5ae8ffcdbd7f36deb34dd19646b7
Size: 85.84 kB - tomcat6-lib-6.0.24-98.AXS4.noarch.rpm
MD5: 46ab5e3b43261fe666a8c77f41c644d8
SHA-256: f0c9405753b60cd7d185bc27b9c0a76e5da6598b7d8476f9d460181535174cfe
Size: 2.91 MB - tomcat6-servlet-2.5-api-6.0.24-98.AXS4.noarch.rpm
MD5: 1f80fb20ba46c64844006f7ae915acd8
SHA-256: 64bad25ad5f0102ce582c6a4f72aca698057bd38591c00143a4e4bb6841caf1e
Size: 119.88 kB