tomcat6-6.0.24-98.AXS4

エラータID: AXSA:2016-705:03

リリース日: 
2016/10/11 Tuesday - 03:09
題名: 
tomcat6-6.0.24-98.AXS4
影響のあるチャネル: 
Asianux Server 4 for x86_64
Asianux Server 4 for x86
Severity: 
High
Description: 

[修正内容]
以下項目について対処しました。

[Security Fix]
- Apache Tomcat の RequestUtil.java には、ディレクトリトラバーサルの脆弱性が存在し、getResource、getResourceAsStream、
あるいは getResourcePaths コールの Web アプリケーションで使用されるパス名に含まれる /.. (スラッシュドットドット) によって、
リモートの認証されたユーザが SecurityManager 制限を回避し、親ディレクトリをリストする脆弱性があります。(CVE-2015-5174)

- Apache Tomcat の Mapper コンポーネントは、セキュリティー制約およびフィルタを考慮する前にリダイレクト処理を行っており、
末尾の / (スラッシュ) 文字を欠いた URL によって、リモートの攻撃者がディレクトリの存在を特定する脆弱性があります。 (CVE-2015-5345)

- Apache Tomcat は、org.apache.catalina.manager.StatusManagerServlet をorg/apache/catalina/core/RestrictedServlets.properties
リスト上に配置しておらず、巧妙に細工された Web アプリケーションによって、リモートの認証されたユーザが SecurityManager
制限を回避し、 任意の HTTP リクエストを読み込み、その結果、セッション ID の値を取得する脆弱性があります。(CVE-2016-0706)

- Apache Tomcat の session-persistence の実装は、セッションの属性を誤って処理しており、巧妙に細工されたオブジェクトを
セッションに配置する Web アプリケーションによって、リモートの認証されたユーザが SecurityManager 制限を回避し、
特権付きコンテキスト内で任意のコードを実行する脆弱性があります。(CVE-2016-0714)

- Apache Tomcat は、CGI サーブレットが有効になっている場合、 RFC 3875 セクション 4.1.18 に準拠するため、
HTTP_PROXY 環境変数の信頼できないクライアントデータの存在からアプリケーションを保護しておらず、
リモートの攻撃者が、HTTP リクエストの巧妙に細工された Proxy ヘッダによって、任意のプロキシサーバに
アプリケーションのアウトバウンド HTTP トラフィックをリダイレクトする脆弱性があります。 (CVE-2016-5388)

- Tomcat パッケージは (1) /etc/sysconfig/tomcat と (2) /etc/tomcat/tomcat.conf に弱いパーミッショ
ンを使用しており,あるいは tomcat グループのメンバを使用することによって,ローカルのユーザが権限を得る
脆弱性があります。(CVE-2016-6325)

一部CVEの翻訳文はJVNからの引用になります。
http://jvndb.jvn.jp/

解決策: 

パッケージをアップデートしてください。

追加情報: 

N/A

ダウンロード: 

SRPMS
  1. tomcat6-6.0.24-98.AXS4.src.rpm
    MD5: 70600565d6cc370b20b055508132fee9
    SHA-256: f7b113dcbd1387cce7396b0b44911265234d766d85da19d22c4a355a0b51d649
    Size: 3.63 MB

Asianux Server 4 for x86
  1. tomcat6-6.0.24-98.AXS4.noarch.rpm
    MD5: 7bb8cf75caf9428cbaab5ba2e8af8414
    SHA-256: d9edba25d7e5b6245611f083dfd6e4bef8f7b8f2e595c7cc6b017a63c9fe9be6
    Size: 93.98 kB
  2. tomcat6-el-2.1-api-6.0.24-98.AXS4.noarch.rpm
    MD5: cb76e507343a9ceb1ec703f9feabb17d
    SHA-256: a7c057602f2206305b394e5e502b0291a142c5e4e334ae85e20115331dcf1a08
    Size: 49.84 kB
  3. tomcat6-jsp-2.1-api-6.0.24-98.AXS4.noarch.rpm
    MD5: 443b328b0f7d84d7475e3e19ac3504bb
    SHA-256: 332b4780cf126910378d985101b2cefce11484598cc147f28277c434a8c3b69c
    Size: 86.29 kB
  4. tomcat6-lib-6.0.24-98.AXS4.noarch.rpm
    MD5: aadc89e90cc1a84c2294ed26860196ca
    SHA-256: 488a64a4b57df685f52c90e01e439a505a62728fd9e81e3b39d5076aeb95c781
    Size: 2.91 MB
  5. tomcat6-servlet-2.5-api-6.0.24-98.AXS4.noarch.rpm
    MD5: bad9cb028b87dd51481f8749977ae328
    SHA-256: 0c92f90818b29af9f946a262736969536ad588f17d02a173d51d05fc629efa9d
    Size: 120.32 kB

Asianux Server 4 for x86_64
  1. tomcat6-6.0.24-98.AXS4.noarch.rpm
    MD5: c0289fb4c81427b0719a973ba4fb3d67
    SHA-256: fae387729295c16835b7d45d726eb23d5ebb34269b26498addbf64edc92c44c4
    Size: 93.54 kB
  2. tomcat6-el-2.1-api-6.0.24-98.AXS4.noarch.rpm
    MD5: 1ffcac3c23fd34b0825ff81df0ff73e1
    SHA-256: 8e66588fd4334e233386a1fd50f93a9773bb7e0be97e137db67b06bb25fb9764
    Size: 49.38 kB
  3. tomcat6-jsp-2.1-api-6.0.24-98.AXS4.noarch.rpm
    MD5: 48cec9de28d855791995eb52cc3f8ee4
    SHA-256: f29bdb7454cb7044a1343f61ae662bc1897d5ae8ffcdbd7f36deb34dd19646b7
    Size: 85.84 kB
  4. tomcat6-lib-6.0.24-98.AXS4.noarch.rpm
    MD5: 46ab5e3b43261fe666a8c77f41c644d8
    SHA-256: f0c9405753b60cd7d185bc27b9c0a76e5da6598b7d8476f9d460181535174cfe
    Size: 2.91 MB
  5. tomcat6-servlet-2.5-api-6.0.24-98.AXS4.noarch.rpm
    MD5: 1f80fb20ba46c64844006f7ae915acd8
    SHA-256: 64bad25ad5f0102ce582c6a4f72aca698057bd38591c00143a4e4bb6841caf1e
    Size: 119.88 kB