tomcatの更新プログラムが、Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Apache Tomcatは、JavaサーブレットとJavaServer Pages（JSP）技術のサーブレットコンテナです。セキュリティ修正プログラム：* HTTPリクエスト行を解析するコードで、無効な文字が許可されていたことがわかりました。これは、無効な文字は許可されているが解釈が異なるプロキシと組み合わせて、HTTP応答にデータを挿入するために悪用される可能性があります。HTTP応答を操作することにより、攻撃者がWebキャッシュを害したり、XSS攻撃を実行したり、自分以外のリクエストから秘密情報を取得したりする可能性があります。（CVE-2016-6816）注意：この処置により、リクエストにHTTPの仕様によって許可されていない文字が含まれているとき、以前に許可されていたとしても、TomcatがHTTP 400 Bad Requestエラーを返し、エンコードされていないように見せかけます。新しく導入されたシステムプロパティtomcat.util.http.parser.HttpParser.requestTargetAllowが、波括弧（{と}）とパイプ（|）をエンコードされていない形式で受け入れるようにTomcatを設定するのに使用される可能性があります。適切にコード化されていないURLに使用されることが多いためです。* NIO HTTPコネクタの送信ファイルコードのエラー処理でバグが発見されました。これにより、現在のプロセッサーオブジェクトがプロセッサーキャッシュに複数回追加され、セッションIDやレスポンスボディを含むリクエスト間の情報漏えいが生じる可能性があります。（CVE-2016-8745）

リモートホストにインストールされている Tomcat のバージョンは 8.0.41より前です。したがって、fixed_in_apache_tomcat_8.0.41_security-8 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Apache Tomcat 9.0.0.M1 ～ 9.0.0.M13、8.5.0 ～ 8.5.8、8.0.0.RC1 ～ 8.0.39、7.0.0 ～ 7.0.73 および 6.0.16 ～ 6.0.48 の NIO HTTP コネクターにおける送信ファイルコードのエラー処理のバグにより、現在のプロセッサーオブジェクトがプロセッサーキャッシュに複数回追加されました。これは、同じプロセッサーを同時リクエストに使用される可能性があるということです。プロセッサーを共有すると、セッション ID や応答本体などのリクエスト間で情報が漏えいする可能性があります。このバグは、バージョン 8.5.x で最初に確認され、8.5.x のコネクタコードのリファクタリングにより、バグが確認される可能性が高くなりました。当初、8.5.x のリファクタリングによってバグが発生するようになったと考えられていましたが、さらなる調査の結果、このバグは現在サポートされている Tomcat のすべてのバージョンに存在することが判明しました。(CVE-2016-8745)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

tomcat 用のこの更新は、次の問題を修正します：

  - CVE-2017-5647 パイプライン化されたリクエストにより、情報漏洩が発生する可能性がありました（bsc#1033448）

  - CVE-2017-5648 信頼できないアプリケーションがリスナーを保持することで、情報漏洩につながる可能性がありました（bsc#1033447）

  - CVE-2016-8745 コネクターコード上で共有されたプロセッサが情報漏洩につながる可能性がありました（bsc#1015119）

この更新はSUSEからインポートされました：SLE-12-SP1：更新とSUSE：SLE-12-SP2：更新プロジェクトを更新します。

According to its self-reported version number, the Apache Tomcat service running on the remote host is 8.0.x prior to 8.0.41. It is therefore, affected by an information disclosure vulnerability in error handling during send file processing by the NIO HTTP connector, in which an error can cause the current Processor object to be added to the Processor cache multiple times. This allows the same Processor to be used for concurrent requests. An unauthenticated, remote attacker can exploit this issue, via a shared Processor, to disclose sensitive information, such as session IDs, response bodies related to another request, etc.

Note that Nessus Network Monitor has not attempted to exploit this issue but has instead relied only on the application's self-reported version number.

According to its self-reported version number, the Apache Tomcat service running on the remote host is 7.0.x prior to 7.0.75. It is therefore, affected by an information disclosure vulnerability in error handling during send file processing by the NIO HTTP connector, in which an error can cause the current Processor object to be added to the Processor cache multiple times. This allows the same Processor to be used for concurrent requests. An unauthenticated, remote attacker can exploit this issue, via a shared Processor, to disclose sensitive information, such as session IDs, response bodies related to another request, etc.

Note that Nessus Network Monitor has not attempted to exploit this issue but has instead relied only on the application's self-reported version number.

According to its self-reported version number, the Apache Tomcat service running on the remote host is 8.5.x prior to 8.5.9, or 9.0.x prior to 9.0.0.M15. It is therefore, affected by an information disclosure vulnerability in error handling during send file processing by the NIO HTTP connector, in which an error can cause the current Processor object to be added to the Processor cache multiple times. This allows the same Processor to be used for concurrent requests. An unauthenticated, remote attacker can exploit this issue, via a shared Processor, to disclose sensitive information, such as session IDs, response bodies related to another request, etc.

Note that Nessus Network Monitor has not attempted to exploit this issue but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
99384	CentOS 7：tomcat（CESA-2017:0935）	Nessus	CentOS Local Security Checks	2017/4/14	2021/1/4	high
197846	Apache Tomcat 8.0.0.RC1 < 8.0.41	Nessus	Web Servers	2024/5/23	2024/5/23	high
100204	openSUSEセキュリティ更新プログラム：tomcat（openSUSE-2017-586）	Nessus	SuSE Local Security Checks	2017/5/16	2025/12/18	critical
700683	Apache Tomcat 8.0.x < 8.0.41 NIO HTTP Connector Information Disclosure	Nessus Network Monitor	Web Servers	2019/5/10	2019/5/10	high
700669	Apache Tomcat 6.0.x < 6.0.50 NIO HTTP Connector Information Disclosure	Nessus Network Monitor	Web Servers	2019/5/10	2019/5/10	high
700671	Apache Tomcat 7.0.x < 7.0.75 NIO HTTP Connector Information Disclosure	Nessus Network Monitor	Web Servers	2019/5/13	2019/5/13	high
9909	Apache Tomcat 8.5.x < 8.5.9 / 9.x < 9.0.0.M15 NIO HTTP Connector Information Disclosure	Nessus Network Monitor	Web Servers	2017/1/25	2019/3/6	high

检测

插件搜索

high

high

critical

high

high

high

high