JVNDB-2012-005998

Apache Tomcat におけるサービス運用妨害 (DoS) の脆弱性

Apache Tomcat は、チャンク転送コーディング (chunked transfer coding) のチャンク拡張 (chunk extension) を適切に処理しないため、サービス運用妨害 (DoS) 状態にされる脆弱性が存在します。

本脆弱性は、CVE-2013-4322 と関連する問題です。

Apache Software Foundation

• Apache Tomcat 6.0.37 未満の 6.x
• Apache Tomcat 7.0.30 未満の 7.x

オラクル

• Oracle Fusion Middleware の Oracle Enterprise Data Quality 8.1
• Oracle Fusion Middleware の Oracle Enterprise Data Quality 9.0.8
• Oracle Supply Chain Products Suite の Oracle Transportation Management 6.0
• Oracle Supply Chain Products Suite の Oracle Transportation Management 6.1
• Oracle Supply Chain Products Suite の Oracle Transportation Management 6.2
• Oracle Supply Chain Products Suite の Oracle Transportation Management 6.3
• Oracle Supply Chain Products Suite の Oracle Transportation Management 6.3.1
• Oracle Supply Chain Products Suite の Oracle Transportation Management 6.3.2
• Oracle Virtualization の Oracle Secure Global Desktop 4.63 with December 2013 PSU 未満
• Oracle Virtualization の Oracle Secure Global Desktop 4.71 未満
• Oracle Virtualization の Sun Ray Software 5.4.3 未満
• Oracle Virtualization の Oracle Virtual Desktop Infrastructure 3.5.1 未満

日本電気

• CSVIEW /FAQナビ すべてのバージョン
• WebOTX Application Server Enterprise Edition V8.1
• WebOTX Application Server Enterprise V8.2 から V8.5
• WebOTX Application Server Express V8.2 から V8.5
• WebOTX Application Server Foundation V8.2 から V8.5
• WebOTX Application Server Standard Edition V8.1
• WebOTX Application Server Standard V8.2 から V8.5
• WebOTX Application Server Standard-J Edition V8.1
• WebOTX Application Server Web Edition V8.1
• WebOTX Developer V8.1 から V8.5
• WebOTX Enterprise Service Bus V8.1 から V8.5
• WebOTX Portal V8.2 から V8.5
• WebOTX SIP Application Server Standard Edition V8.1
• WebSAM SECUREMASTER AccessControlServer 5
• WebSAM SECUREMASTER AccessControlServer 6
• WebSAM SECUREMASTER AccessControlServer 7
• WebSAM SECUREMASTER EnterpriseAccessManager 5
• WebSAM SECUREMASTER EnterpriseAccessManager 6
• WebSAM SECUREMASTER EnterpriseAccessManager 7
• WebSAM Storage VASA Provider V1.1.001
• WebSAM Storage VMware vSphere Web Client Plug-in V1.1
• WebSAM Storage VMware vCenter Plug-in V1.1.001
• WebSAM Storage VMware vCenter Plug-in V1.2.001

日立

• Cosminexus Component Container
• uCosminexus Application Server
• uCosminexus Application Server (64)
• uCosminexus Application Server -R
• uCosminexus Application Server Express
• uCosminexus Application Server Light
• uCosminexus Application Server Standard-R
• uCosminexus Application Server Enterprise
• uCosminexus Application Server Enterprise Custom Edition
• uCosminexus Application Server Smart Edition
• uCosminexus Application Server Standard
• uCosminexus Application Server Standard Custom Edition
• uCosminexus Developer
• uCosminexus Developer 01
• uCosminexus Developer Professional
• uCosminexus Developer Professional for ATM
• uCosminexus Developer Professional for Plug-in
• uCosminexus Developer Light
• uCosminexus Developer Standard
• uCosminexus Service Architect
• uCosminexus Service Platform
• uCosminexus Service Platform (64)
• uCosminexus Service Platform - Messaging

本脆弱性の影響を受ける日立製品の詳細については、ベンダ情報 HS13-016 をご確認ください。

本脆弱性の影響を受ける日本電気製品の詳細については、ベンダ情報 NV14-003 をご確認ください。

第三者により、データをストリーミングされることで、サービス運用妨害 (DoS) 状態にされる可能性があります。

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache Tomcat : security-6
• Apache Tomcat : security-7
• Apache-SVN : Revision 1476592
• Apache-SVN : Revision 1378921
• Apache-SVN : Revision 1378702
• Apache-SVN : Diff of /tomcat/tc6.0.x/trunk/java/org/apache/coyote/http11/filters/ChunkedInputFilter.java

オラクル

• Oracle Critical Patch Update : Oracle Critical Patch Update Advisory - January 2014
• Oracle Critical Patch Update : Text Form of Oracle Critical Patch Update - January 2014 Risk Matrices
• Oracle Critical Patch Update : Oracle Critical Patch Update Advisory - July 2014
• Oracle Critical Patch Update : Text Form of Oracle Critical Patch Update - July 2014 Risk Matrices
• SECURITY BLOG : Multiple vulnerabilities in Tomcat
• SECURITY BLOG : January 2014 Critical Patch Update Released
• SECURITY BLOG : Multiple vulnerabilities in Apache Tomcat
• SECURITY BLOG : July 2014 Critical Patch Update Released

日本電気

• NEC製品セキュリティ情報 : NV14-003

日立

• Hitachi Software Vulnerability Information : HS13-016
• ソフトウェア製品セキュリティ情報 : HS13-016

1. 不適切な入力確認(CWE-20) [NVD評価]

1. CVE-2012-3544

1. National Vulnerability Database (NVD) : CVE-2012-3544

• [2013年06月04日]
    掲載
  [2013年07月08日]
    影響を受けるシステム：日立 (HS13-016) の情報を追加
    ベンダ情報：日立 (HS13-016) を追加
  [2013年10月24日]
    ベンダ情報：オラクル (Multiple vulnerabilities in Tomcat) を追加
  [2014年01月22日]
    影響を受けるシステム：オラクル (Oracle Critical Patch Update Advisory - January 2014) の情報を追加
    ベンダ情報：オラクル (Oracle Critical Patch Update Advisory - January 2014) を追加
    ベンダ情報：オラクル (Text Form of Oracle Critical Patch Update - January 2014 Risk Matrices) を追加
    ベンダ情報：オラクル (January 2014 Critical Patch Update Released) を追加
  [2014年03月13日]
    概要：内容を更新
  [2014年05月09日]
    影響を受けるシステム：日本電気 (NV14-003) の情報を追加
    ベンダ情報：日本電気 (NV14-003) を追加
  [2014年06月02日]
    ベンダ情報：オラクル (Multiple vulnerabilities in Apache Tomcat) を追加
  [2014年06月03日]
    影響を受けるシステム：内容を更新
  [2014年07月18日]
    影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
    ベンダ情報：オラクル (Oracle Critical Patch Update Advisory - July 2014) を追加
    ベンダ情報：オラクル (Text Form of Oracle Critical Patch Update - July 2014 Risk Matrices) を追加
    ベンダ情報：オラクル (July 2014 Critical Patch Update Released) を追加
  [2014年08月06日]
    影響を受けるシステム：内容を更新
  [2016年08月02日]
    影響を受けるシステム：ベンダ情報の更新に伴い内容を更新