Scientific Linux 安全更新：SL6.x 中的 tomcat6 (noarch)

medium Nessus 插件 ID 77144

语言：

简介

远程 Scientific Linux 主机缺少一个或多个安全更新。

描述

发现多个应用程序提供的 XML 文件（例如 web.xml、content.xml、*.tld、*.tagx 和 *.jspx）解析外部实体，这可能引发 XML 外部实体 (XXE) 攻击。如果攻击者能够向 Tomcat 部署恶意应用程序，则可利用此缺陷避开 JSM 设置的安全限制，并且获取访问系统中敏感信息的权限。请注意，此缺陷仅影响其中 Tomcat 运行来自不受信任来源（例如共享托管环境）的应用程序的部署。(CVE-2013-4590)

发现在某些情况下，恶意 Web 应用程序可能替换 Apache Tomcat 用来为默认 servlet、JSP 文档、标签库描述符 (TLD) 和标签插件配置文件处理 XSLT 的 XML 解析器。注入的 XML 解析器可随后绕过在 XML 外部实体上施加的限制，和/或访问为在同一 Apache Tomcat 实例上部署的其他 Web 应用程序处理的 XML 文件。
(CVE-2014-0119)

必须重新启动 Tomcat，才能使此更新生效。

解决方案

更新受影响的数据包。

另见

http://www.nessus.org/u?67152a53

插件详情

严重性: Medium

ID: 77144

文件名: sl_20140811_tomcat6_on_SL6_x.nasl

版本: 1.5

类型: local

代理: unix

系列: Scientific Linux Local Security Checks

发布时间: 2014/8/12

最近更新时间: 2021/1/14

支持的传感器: Nessus Agent, Nessus

风险信息

VPR

风险因素: Low

分数: 3.3

CVSS v2

风险因素: Medium

基本分数: 4.3

矢量: CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:N

漏洞信息

CPE: p-cpe:/a:fermilab:scientific_linux:tomcat6, p-cpe:/a:fermilab:scientific_linux:tomcat6-admin-webapps, p-cpe:/a:fermilab:scientific_linux:tomcat6-docs-webapp, p-cpe:/a:fermilab:scientific_linux:tomcat6-el-2.1-api, p-cpe:/a:fermilab:scientific_linux:tomcat6-javadoc, p-cpe:/a:fermilab:scientific_linux:tomcat6-jsp-2.1-api, p-cpe:/a:fermilab:scientific_linux:tomcat6-lib, p-cpe:/a:fermilab:scientific_linux:tomcat6-servlet-2.5-api, p-cpe:/a:fermilab:scientific_linux:tomcat6-webapps, x-cpe:/o:fermilab:scientific_linux

必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/RedHat/release, Host/RedHat/rpm-list

补丁发布日期: 2014/8/11

漏洞发布日期: 2014/2/26

参考资料信息

CVE: CVE-2013-4590, CVE-2014-0119