製品・ソフトウェアに関する情報
脆弱性検索
Debian jessie および Ubuntu 上で稼動する tomcat パッケージの Tomcat init スクリプトにおける root 権限を取得される脆弱性
タイトル Debian jessie および Ubuntu 上で稼動する tomcat パッケージの Tomcat init スクリプトにおける root 権限を取得される脆弱性
概要

Debian jessie および Ubuntu 上で稼動する tomcat パッケージにおける Tomcat init スクリプトには、root 権限を取得される脆弱性が存在します。

想定される影響 tomcat アカウントのアクセス権を持つローカルユーザにより、Catalina ログファイルへのシンボリックリンク攻撃を介して、root 権限を取得される可能性があります。
対策

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日 2016年9月15日0:00
登録日 2016年10月5日13:48
最終更新日 2016年10月5日13:48
CVSS3.0 : 重要
スコア 7.8
ベクター CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS2.0 : 危険
スコア 7.2
ベクター AV:L/AC:L/Au:N/C:C/I:C/A:C
影響を受けるシステム
Apache Software Foundation
Apache Tomcat の libtomcat6-java パッケージ 6.0.35-1ubuntu3.8 未満 (Ubuntu 12.04 LTS)
Apache Tomcat の libtomcat7-java パッケージ 7.0.52-1ubuntu0.7 未満 (Ubuntu 14.04 LTS)
Apache Tomcat の libtomcat8-java パッケージ 8.0.32-1ubuntu1.2 未満 (Ubuntu 16.04 LTS)
Apache Tomcat の tomcat6 パッケージ 6.0.35-1ubuntu3.8 未満 (Ubuntu 12.04 LTS)
Apache Tomcat の tomcat7 パッケージ 7.0.52-1ubuntu0.7 未満 (Ubuntu 14.04 LTS)
Apache Tomcat の tomcat7 パッケージ 7.0.56-3+deb8u4 未満 (Debian jessie)
Apache Tomcat の tomcat8 パッケージ 8.0.14-1+deb8u3 未満 (Debian jessie)
Apache Tomcat の tomcat8 パッケージ 8.0.32-1ubuntu1.2 未満 (Ubuntu 16.04 LTS)
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
変更履歴
No 変更内容 変更日
0 [2016年10月05日]
  掲載		 2018年2月17日10:37
NVD脆弱性情報
CVE-2016-1240
概要

The Tomcat init script in the tomcat7 package before 7.0.56-3+deb8u4 and tomcat8 package before 8.0.14-1+deb8u3 on Debian jessie and the tomcat6 and libtomcat6-java packages before 6.0.35-1ubuntu3.8 on Ubuntu 12.04 LTS, the tomcat7 and libtomcat7-java packages before 7.0.52-1ubuntu0.7 on Ubuntu 14.04 LTS, and tomcat8 and libtomcat8-java packages before 8.0.32-1ubuntu1.2 on Ubuntu 16.04 LTS allows local users with access to the tomcat account to gain root privileges via a symlink attack on the Catalina log file, as demonstrated by /var/log/tomcat7/catalina.out.

公表日 2016年10月4日0:59
登録日 2021年1月26日14:06
最終更新日 2024年11月21日11:46
影響を受けるソフトウェアの構成
構成1 以上 以下 より上 未満
cpe:2.3:a:apache:tomcat:6.0:*:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:7.0:*:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:8.0:*:*:*:*:*:*:*
実行環境
1 cpe:2.3:o:canonical:ubuntu_linux:12.04:*:*:*:lts:*:*:*
2 cpe:2.3:o:canonical:ubuntu_linux:14.04:*:*:*:lts:*:*:*
3 cpe:2.3:o:canonical:ubuntu_linux:16.04:*:*:*:lts:*:*:*
構成2 以上 以下 より上 未満
cpe:2.3:a:apache:tomcat:7.0:*:*:*:*:*:*:*
cpe:2.3:a:apache:tomcat:8.0:*:*:*:*:*:*:*
実行環境
1 cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
関連情報、対策とツール
共通脆弱性一覧