JVNDB-2012-005749

JVNDB-2012-005749
Apache Tomcat における security-constraint のチェックを回避される脆弱性
概要
Apache Tomcat の org/apache/catalina/realm/RealmBase.java には、FORM 認証が使用される際、security-constraint のチェックを回避される脆弱性が存在します。
CVSS による深刻度 (CVSS とは?)
CVSS v2 による深刻度基本値: 4.3 (警告) [NVD値] 攻撃元区分: ネットワーク攻撃条件の複雑さ: 中攻撃前の認証要否: 不要機密性への影響(C): なし完全性への影響(I): 部分的可用性への影響(A): なし
影響を受けるシステム

Apache Software Foundation Apache Tomcat 6.0.36 未満の 6.x Apache Tomcat 7.0.30 未満の 7.x ヒューレット・パッカード HP Service Manager 9.30 (Windows/Linux/HP-UX/Solaris/AIX) HP Service Manager 9.31 (Windows/Linux/HP-UX/Solaris/AIX) HP XP P9000 Performance Advisor ソフトウェア 5.4.1 およびそれ以前

想定される影響
第三者により、setUserPrincipal コールを使い、その後で /j_security_check を URI の末尾に付けられることにより、security-constraint のチェックを回避される可能性があります。
対策
ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
ベンダ情報
Apache Software Foundation Apache Tomcat : security-6 Apache Tomcat : security-7 Apache-SVN : Diff of /tomcat/tc7.0.x/trunk/webapps/docs/changelog.xml Apache-SVN : Diff of /tomcat/tc7.0.x/trunk/java/org/apache/catalina/realm/RealmBase.java Apache-SVN : Revision 1377892 オラクル SECURITY BLOG : Multiple vulnerabilities in Apache Tomcat ヒューレット・パッカード HP Security Bulletin : HPSBMU02873 SSRT101182 HP Security Bulletin : HPSBST02955 SSRT101157 レッドハット Red Hat Security Advisory : RHSA-2013:0146 Red Hat Security Advisory : RHSA-2013:0147 Red Hat Security Advisory : RHSA-2013:0004 Red Hat Security Advisory : RHSA-2013:0005 Red Hat Security Advisory : RHSA-2013:0151 Red Hat Security Advisory : RHSA-2013:0157 Red Hat Security Advisory : RHSA-2013:0158 Red Hat Security Advisory : RHSA-2013:0162 Red Hat Security Advisory : RHSA-2013:0163 Red Hat Security Advisory : RHSA-2013:0164 Red Hat Security Advisory : RHSA-2013:0191 Red Hat Security Advisory : RHSA-2013:0192 Red Hat Security Advisory : RHSA-2013:0193 Red Hat Security Advisory : RHSA-2013:0194 Red Hat Security Advisory : RHSA-2013:0195 Red Hat Security Advisory : RHSA-2013:0196 Red Hat Security Advisory : RHSA-2013:0197 Red Hat Security Advisory : RHSA-2013:0198 Red Hat Security Advisory : RHSA-2013:0221 Red Hat Security Advisory : RHSA-2013:0235 Red Hat Security Advisory : RHSA-2013:0623 Red Hat Security Advisory : RHSA-2013:0640 Red Hat Security Advisory : RHSA-2013:0641 Red Hat Security Advisory : RHSA-2013:0642
CWEによる脆弱性タイプ一覧 CWEとは?
認可・権限・アクセス制御(CWE-264) [NVD評価]
共通脆弱性識別子(CVE) CVEとは?
CVE-2012-3546
参考情報
National Vulnerability Database (NVD) : CVE-2012-3546
更新履歴
[2012年12月20日] 掲載 [2013年01月24日] ベンダ情報：レッドハット (RHSA-2013:0146) を追加ベンダ情報：レッドハット (RHSA-2013:0147) を追加 [2013年03月08日] ベンダ情報：オラクル (Multiple vulnerabilities in Apache Tomcat) を追加 [2015年03月09日] 影響を受けるシステム：ベンダ情報の追加に伴い内容を更新ベンダ情報：ヒューレット・パッカード (HPSBMU02873 SSRT101182) を追加ベンダ情報：ヒューレット・パッカード (HPSBST02955 SSRT101157) を追加ベンダ情報：レッドハット (RHSA-2013:0004) を追加ベンダ情報：レッドハット (RHSA-2013:0005) を追加ベンダ情報：レッドハット (RHSA-2013:0151) を追加ベンダ情報：レッドハット (RHSA-2013:0157) を追加ベンダ情報：レッドハット (RHSA-2013:0158) を追加ベンダ情報：レッドハット (RHSA-2013:0162) を追加ベンダ情報：レッドハット (RHSA-2013:0163) を追加ベンダ情報：レッドハット (RHSA-2013:0164) を追加ベンダ情報：レッドハット (RHSA-2013:0191) を追加ベンダ情報：レッドハット (RHSA-2013:0192) を追加ベンダ情報：レッドハット (RHSA-2013:0193) を追加ベンダ情報：レッドハット (RHSA-2013:0194) を追加ベンダ情報：レッドハット (RHSA-2013:0195) を追加ベンダ情報：レッドハット (RHSA-2013:0196) を追加ベンダ情報：レッドハット (RHSA-2013:0197) を追加ベンダ情報：レッドハット (RHSA-2013:0198) を追加ベンダ情報：レッドハット (RHSA-2013:0221) を追加ベンダ情報：レッドハット (RHSA-2013:0235) を追加ベンダ情報：レッドハット (RHSA-2013:0623) を追加ベンダ情報：レッドハット (RHSA-2013:0640) を追加ベンダ情報：レッドハット (RHSA-2013:0641) を追加ベンダ情報：レッドハット (RHSA-2013:0642) を追加


公表日	2012/12/04
登録日	2012/12/20
最終更新日	2015/03/09

Apache Tomcat における security-constraint のチェックを回避される脆弱性