【活用ガイド】

JVNDB-2014-002702

Apache Tomcat における任意のファイルを読まれる脆弱性

概要

Apache Tomcat は、XSLT スタイルシートとともに使用される XML パーサにアクセスするクラスローダを適切に制限しないため、(1) XML 外部エンティティ (XXE) の問題に関連し、任意のファイルを読まれる、または (2) 単一の Tomcat インスタンス上の異なる Web アプリケーションに関連するファイルを読まれる脆弱性が存在します。
CVSS による深刻度 (CVSS とは?)

CVSS v2 による深刻度
基本値: 4.3 (警告) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 中
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
影響を受けるシステム


Apache Software Foundation
  • Apache Tomcat 6.0.40 未満
  • Apache Tomcat 7.0.54 未満の 7.x
  • Apache Tomcat 8.0.6 未満の 8.x
IBM
  • IBM UrbanCode Release 6.0
  • IBM UrbanCode Release 6.0.0.1
  • IBM UrbanCode Release 6.0.1
  • IBM UrbanCode Release 6.0.1.1
  • IBM UrbanCode Release 6.0.1.2
  • IBM UrbanCode Release 6.0.1.3
  • IBM UrbanCode Release 6.0.1.4
  • IBM UrbanCode Release 6.1
  • Rational Lifecycle Integration Adapter for HP ALM 1.0 から 1.1
オラクル
  • Oracle Communications Policy Management 10.4.1
  • Oracle Communications Policy Management 12.1.1 およびそれ以前
  • Oracle Communications Policy Management 9.7.3
  • Oracle Communications Policy Management 9.9.1
  • Oracle Fusion Middleware の Oracle Enterprise Data Quality 8.1.2
  • Oracle Fusion Middleware の Oracle Enterprise Data Quality 9.0.11
  • Oracle Virtualization の Oracle Secure Global Desktop 4.63
  • Oracle Virtualization の Oracle Secure Global Desktop 4.71
  • Oracle Virtualization の Oracle Secure Global Desktop 5.0
  • Oracle Virtualization の Oracle Secure Global Desktop 5.1

想定される影響

第三者により、(1) エンティティ参照に関連する XML 外部エンティティ宣言を提供する巧妙に細工された Web アプリケーションを介して、任意のファイルを読まれる、または (2) 巧妙に細工された Web アプリケーションを介して、単一の Tomcat インスタンス上の異なる Web アプリケーションに関連するファイルを読まれる可能性があります。
対策

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
ベンダ情報

Apache Software Foundation IBM オラクル レッドハット
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 認可・権限・アクセス制御(CWE-264) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2014-0119
参考情報

  1. National Vulnerability Database (NVD) : CVE-2014-0119
  2. 関連文書 : MGASA-2014-0268
更新履歴

  • [2014年06月03日]
      掲載
    [2014年07月25日]
      影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
      ベンダ情報：オラクル (Oracle Critical Patch Update Advisory - July 2014) を追加
      ベンダ情報：オラクル (Text Form of Oracle Critical Patch Update - July 2014 Risk Matrices) を追加
      ベンダ情報：オラクル (CVE-2014-0119 Permissions, Privileges, and Access Control vulnerability in Apache Tomcat) を追加
    [2014年08月06日]
      影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
      ベンダ情報：IBM (1678231) を追加
    [2014年09月10日]
      影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
      ベンダ情報：IBM (1681528) を追加
    [2014年10月21日]
      影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
      ベンダ情報：オラクル (Oracle Critical Patch Update Advisory - October 2014) を追加
      ベンダ情報：オラクル (Text Form of Oracle Critical Patch Update - October 2014 Risk Matrices) を追加
      ベンダ情報：オラクル (October 2014 Critical Patch Update Released) を追加
    [2015年03月02日]
      ベンダ情報：レッドハット (RHSA-2015:0234) を追加
      ベンダ情報：レッドハット (RHSA-2015:0235) を追加
    [2015年05月12日]
      ベンダ情報：レッドハット (RHSA-2015:0675) を追加
      ベンダ情報：レッドハット (RHSA-2015:0720) を追加
      ベンダ情報：レッドハット (RHSA-2015:0765) を追加
      参考情報：関連文書 (MGASA-2014-0268) を追加
    [2016年11月22日]
      影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
      ベンダ情報：オラクル (Oracle Critical Patch Update Advisory - October 2016) を追加
      ベンダ情報：オラクル (Text Form of Oracle Critical Patch Update - October 2016 Risk Matrices) を追加
      ベンダ情報：オラクル (October 2016 Critical Patch Update Released) を追加

公表日2014/05/21
登録日2014/06/03
最終更新日2016/11/22