Oracle Linux 6：tomcat6 (ELSA-2011-1780)
high Nessus Plugin ID 68399
語系：
Synopsis
遠端 Oracle Linux 主機缺少一個或多個安全性更新。描述
來自 Red Hat 安全性公告 2011:1780：現已提供適用於 Red Hat Enterprise Linux 6 之更新的 tomcat6 套件，可修正多個安全性問題及一個錯誤。
Red Hat 安全性回應團隊已將此更新評等為具有中等安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。
Apache Tomcat 是適用於 Java Servlet 和 JavaServer Pages (JSP) 技術的 Servlet 容器。
在 CVE-2011-3190 及 CVE-2011-2526 描述中所述的 APR (Apache Portable Runtime) 並未參照 apr 套件所提供的 APR。它參照的是由 Tomcat Native 程式庫提供的 APR 的實作，其可支援將 Tomcat 與 APR 搭配使用。Red Hat Enterprise Linux 6 並未隨附此程式庫。
這項更新包含的修正，適用於已選擇透過採用不同產品所提供的 Tomcat Native 程式庫，將 Tomcat 與 APR 搭配使用的使用者。
然而 Red Hat 並不支援這類組態。
在 Tomcat 處理 HTTP 摘要式驗證的方式中，發現了多個瑕疵。這些瑕疵會造成 Tomcat HTTP 摘要式驗證實作變弱，容易遭受 HTTP BASIC 驗證的某些弱點攻擊，例如會讓遠端攻擊者執行工作階段播放攻擊。(CVE-2011-1184)
在 Coyote (org.apache.coyote.ajp.AjpProcessor) 及 APR (org.apache.coyote.ajp.AjpAprProcessor) Tomcat AJP (Apache JServ Protocol) 連接器處理特定 POST 要求的方式中發現一個瑕疵。攻擊者可傳送特製要求，使得該連接器將訊息內文當作新要求來處理。這樣會導致插入任意 AJP，而可能進一步造成攻擊者繞過 Web 應用程式的驗證檢查，獲得其無法以其他方式存取的資訊的存取權限。當 APR 程式庫不存在時，則預設使用 JK (org.apache.jk.server.JkCoyoteHandler) 連接器。JK 連接器未受到此瑕疵的影響。(CVE-2011-3190)
在 Tomcat MemoryUserDatabase 中發現一個瑕疵。透過 JMX 用戶端建立新使用者時，若發生執行階段例外狀況，該使用者的密碼將記錄於 Tomcat 記錄檔。注意：依照預設，只有系統管理員才能存取這類記錄檔。(CVE-2011-2204)
當使用 HTTP APR 或 NIO (非封鎖 I/O) 連接器時，在 Tomcat 處理 sendfile 要求屬性的方式中發現一個瑕疵。在 Tomcat 執行個體上執行的惡意 Web 應用程式可使用此瑕疵來繞過安全性管理員限制，取得原本無法存取的檔案之存取權，或是可能終止 Java 虛擬機器 (JVM)。HTTP 封鎖 IO (BIO) 連接器不會受到此問題的影響，依預設會用於 Red Hat EnterpriseLinux 6 中。(CVE-2011-2526)
Red Hat 要感謝 Apache Tomcat 專案報告 CVE-2011-2526 問題。
此更新也可修正下列錯誤：
* 先前，在特定情況下，如果 'LANG=fr_FR' 或 'LANG=fr_FR.UTF-8' 被設為環境變數，或位於 64 位元 PowerPC 系統的 '/etc/sysconfig/tomcat6' 中，則無法正確啟動 Tomcat。
使用此更新，當 LANG 設為 'fr_FR' 或 'fr_FR.UTF-8' 時，即可依預期運作 Tomcat。(BZ#748807)
Tomcat 的使用者應升級至這些更新版套件，其中包含可解決這些問題的反向移植修補程式。必須重新啟動 Tomcat，此更新才能生效。
解決方案
更新受影響的 tomcat6 套件。另請參閱
https://oss.oracle.com/pipermail/el-errata/2011-December/002493.html
Plugin 詳細資訊
嚴重性: High
ID: 68399
檔案名稱: oraclelinux_ELSA-2011-1780.nasl
版本: 1.11
類型: local
代理程式: unix
已發布: 2013/7/12
已更新: 2021/1/14
支持的傳感器: Frictionless Assessment Agent, Nessus Agent
風險資訊
VPR
風險因素: Medium
分數: 5.8
CVSS v2
風險因素: High
基本分數: 7.5
時間分數: 5.5
媒介: AV:N/AC:L/Au:N/C:P/I:P/A:P
時間媒介: E:U/RL:OF/RC:C
弱點資訊
CPE: p-cpe:/a:oracle:linux:tomcat6, p-cpe:/a:oracle:linux:tomcat6-admin-webapps, p-cpe:/a:oracle:linux:tomcat6-docs-webapp, p-cpe:/a:oracle:linux:tomcat6-el-2.1-api, p-cpe:/a:oracle:linux:tomcat6-javadoc, p-cpe:/a:oracle:linux:tomcat6-jsp-2.1-api, p-cpe:/a:oracle:linux:tomcat6-lib, p-cpe:/a:oracle:linux:tomcat6-servlet-2.5-api, p-cpe:/a:oracle:linux:tomcat6-webapps, cpe:/o:oracle:linux:6
必要的 KB 項目: Host/local_checks_enabled, Host/OracleLinux, Host/RedHat/release, Host/RedHat/rpm-list
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2011/12/5
弱點發布日期: 2011/6/29
參考資訊
CVE: CVE-2011-1184, CVE-2011-2204, CVE-2011-2526, CVE-2011-3190, CVE-2011-5062, CVE-2011-5063, CVE-2011-5064
BID: 48456, 48667, 49353, 49762
RHSA: 2011:1780