|
[English]
|
JVNDB-2008-000009
|
Apache Tomcat において不正な Cookie を送信される脆弱性
|
|
The Apache Software Foundation が提供する Apache Tomcat には、不正な Cookie を送信される脆弱性が存在します。
The Apache Software Foundation が提供する Apache Tomcat は、Java Servlet と JavaServer Pages のサーバ実装です。
Apache Tomcat には、Cookie 情報を生成する過程で特定の文字を適切に処理しないため、遠隔の第三者からユーザのウェブブラウザへ不正な Cookie を送信される可能性があります。
この問題は CVE-2007-3385 への修正が不十分なため発生した問題であることが、開発者から報告されています。
この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA
に報告し、JPCERT/CC がベンダとの調整を行いました。
報告者：株式会社ラック 石川 芳浩 氏
|
|
|
CVSS v2 による深刻度
基本値: 4.3 (警告) [IPA値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 中
- 攻撃前の認証要否: 不要
- 機密性への影響(C): なし
- 完全性への影響(I): 部分的
- 可用性への影響(A): なし
|
|
|
Apache Software Foundation
- Apache Tomcat 4.1.0 から 4.1.36
- Apache Tomcat 5.5.0 から 5.5.25
- Apache Tomcat 6.0.0 から 6.0.14
VMware
- VMware ESX 4.0
- VMware ESX 3.5
- VMware ESX 3.0.3
- VMware Server 2.x
- VMware vCenter 4.0
- VMware VirtualCenter 2.5
- VMware VirtualCenter 2.0.2
アップル
- Apple Mac OS X v10.4.11
- Apple Mac OS X Server v10.4.11
- Apple Mac OS X Server v10.5.5
トレンドマイクロ
- InterScan Messaging Security Suite 7.x
- TrendMicro InterScan Web Security Suite 3.x
- TrendMicro InterScan Web Security Suite 2.x
- TrendMicro InterScan Messaging Security Appliance 7.x
- TrendMicro InterScan Web Security Appliance 3.x
ミラクル・リナックス
- Asianux Server 2.0
- Asianux Server 2.1
- Asianux Server 3 (x86)
- Asianux Server 3 (x86-64)
レッドハット
- Red Hat Enterprise Linux 5 (server)
- Red Hat Enterprise Linux Desktop 5.0 (client)
- Red Hat Enterprise Linux EUS 5.3.z (server)
- RHEL Desktop Workstation 5 (client)
|
|
|
ユーザのウェブブラウザ上で不正な内容の Cookie を送信される可能性があります。その結果、セッションハイジャックなどが行われる可能性があります。
|
|
アップデートする。
Apache Tomcat 6.0.x および Apache Tomcat 5.5.x をお使いの場合：
開発者が提供している情報をもとに最新版へアップデートしてください。
Apache Tomcat 4.1.x をお使いの場合：
2008年02月08日時点で最新版は提供されていませんが、Apache Tomcat 4.1.37 を近日中に公開する予定であることが開発者から報告されています。
詳しくは開発者が提供する情報をご確認ください。
|
|
Apache Software Foundation
VMware
アップル
オラクル
トレンドマイクロ
ミラクル・リナックス
レッドハット
日本電気
|
|
- 情報漏えい(CWE-200) [NVD評価]
|
|
- CVE-2007-5333
|
|
- JVN : JVN#09470767
- National Vulnerability Database (NVD) : CVE-2007-5333
- LAC SNS Advisory : SNS Advisory No.97
- Secunia Advisory : SA28878
- SecurityFocus : 27706
- FrSIRT Advisories : FrSIRT/ADV-2008-0488
|
|
- [2008年02月12日]
掲載
[2008年02月29日]
ベンダ情報：日本電気 (NV08-002) 追加
[2008年03月31日]
影響を受けるシステム：ミラクル・リナックス (1253) の情報追加
ベンダ情報: ミラクル・リナックス (1253) 追加
[2008年07月11日]
影響を受けるシステム：アップル (HT2163) の情報を追加
ベンダ情報：アップル (HT2163) を追加
[2008年11月04日]
影響を受けるシステム：アップル（HT3216）の情報を追加
ベンダ情報：アップル（HT3216）を追加
[2008年12月09日]
影響を受けるシステム：トレンドマイクロ (2064149) の情報を追加
ベンダ情報：トレンドマイクロ (iwss_22_sol_en_patch5_readme) を追加
ベンダ情報：トレンドマイクロ (imss_70_win32_en_sp1_patch2_readme) を追加
ベンダ情報：トレンドマイクロ (2064149) を追加
ベンダ情報：トレンドマイクロ (2064436) を追加
[2009年02月17日]
ベンダ情報：トレンドマイクロ (iwss_31_lx32_en_patch2_readme) を追加
[2009年04月03日]
ベンダ情報：トレンドマイクロ (readme_iwss25_win_patch4_b2060) を追加
[2009年04月08日]
ベンダ情報：トレンドマイクロ (readme_iwss25_win_patch4_b2060_r2) を追加
[2009年06月23日]
ベンダ情報：トレンドマイクロ (README_EN_Patch1) を追加
ベンダ情報：トレンドマイクロ (readme_imss70_lin_sp1_patch1_b3356) を追加
[2009年06月25日]
ベンダ情報：トレンドマイクロ (imss_70_lx32_en_sp1_patch2_readme) を追加
[2009年08月17日]
影響を受けるシステム：レッドハット (RHSA-2009:1164) の情報を追加
ベンダ情報：レッドハット (RHSA-2009:1164) を追加
[2009年10月08日]
影響を受けるシステム：ミラクル・リナックス (tomcat5-5.5.23-0jpp.7.2.1AXS3) の情報を追加
ベンダ情報：ミラクル・リナックス (tomcat5-5.5.23-0jpp.7.2.1AXS3) を追加
[2010年01月05日]
影響を受けるシステム：VMware (VMSA-2009-0016) の情報を追加
ベンダ情報：VMware (VMSA-2009-0016) を追加
ベンダ情報：トレンドマイクロ (imssl_sp1_patch1_readme) を追加
[2012年09月24日]
ベンダ情報：オラクル (Multiple vulnerabilities in Oracle Java Web Console) を追加
[2015年03月05日]
ベンダ情報：レッドハット (RHSA-2013:1029) を追加
|
