JVNDB-2013-002860
|
Apache Tomcat の AsyncContextImpl.java における重要なリクエスト情報を取得される脆弱性
|
|
Apache Tomcat の java/org/apache/catalina/core/AsyncContextImpl.java は、アプリケーション内の AsyncListener の RuntimeException のスローを適切に処理しないため、他のアプリケーション向けの重要なリクエスト情報を取得される脆弱性が存在します。
|
|
CVSS v2 による深刻度
基本値: 2.6 (注意) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 高
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 部分的
- 完全性への影響(I): なし
- 可用性への影響(A): なし
|
|
|
Apache Software Foundation
- Apache Tomcat 7.0.40 未満の 7.x
オラクル
- Oracle Supply Chain Products Suite の Oracle Transportation Management 6.0
- Oracle Supply Chain Products Suite の Oracle Transportation Management 6.1
- Oracle Supply Chain Products Suite の Oracle Transportation Management 6.2
- Oracle Supply Chain Products Suite の Oracle Transportation Management 6.3
- Oracle Supply Chain Products Suite の Oracle Transportation Management 6.3.1
- Oracle Supply Chain Products Suite の Oracle Transportation Management 6.3.2
- Oracle Virtualization の Oracle Secure Global Desktop 4.71 with December 2013 PSU 未満
- Oracle Virtualization の Oracle Secure Global Desktop 5.0 with December 2013 PSU 未満
日本電気
- WebOTX Application Server Express V9.1
|
|
|
攻撃者により、プロセスのリクエストを記録するアプリケーションを介して、他のアプリケーション向けの重要なリクエスト情報を取得される可能性があります。
|
|
ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
|
|
Apache Software Foundation
オラクル
日本電気
|
|
- 情報漏えい(CWE-200) [NVD評価]
|
|
- CVE-2013-2071
|
|
- National Vulnerability Database (NVD) : CVE-2013-2071
|
|
- [2013年06月04日]
掲載
[2014年01月20日]
影響を受けるシステム：オラクル (Oracle Critical Patch Update Advisory - January 2014) の情報を追加
ベンダ情報：オラクル (Oracle Critical Patch Update Advisory - January 2014) を追加
ベンダ情報：オラクル (Text Form of Oracle Critical Patch Update - January 2014 Risk Matrices) を追加
ベンダ情報：オラクル (January 2014 Critical Patch Update Released) を追加
[2016年11月09日]
影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
ベンダ情報：日本電気 (NV16-021) を追加
|
