NVD Vulnerability Detail
Search Exploit, PoC
CVE-2009-0783
Summary

Apache Tomcat 4.1.0 through 4.1.39, 5.5.0 through 5.5.27, and 6.0.0 through 6.0.18 permits web applications to replace an XML parser used for other web applications, which allows local users to read or modify the (1) web.xml, (2) context.xml, or (3) tld files of arbitrary web applications via a crafted application that is loaded earlier than the target application.

Summary

Apache Tomcat v4.1.0 hasta la v4.1.39, v5.5.0 hasta la v5.5.27 y v6.0.0 hasta la v6.0.18 permite a las aplicaciones web reemplazar un "parser" (extractor de información) XML utilizado por otras aplicaciones web, lo que permite a los usuarios locales leer o modificar los ficheros (1) web.xml, (2) context.xml o (3) ficheros tld de aplicaciones web de su elección a través de una aplicacion manipulada que es cargada antes de la aplicación web objetivo del ataque.

Publication Date June 6, 2009, 1 a.m.
Registration Date Jan. 29, 2021, 1:15 p.m.
Last Update April 23, 2026, 9:35 a.m.
CVSS3.0 : MEDIUM
スコア 4.2
Vector CVSS:3.0/AV:L/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L
攻撃元区分(AV) ローカル
攻撃条件の複雑さ(AC) 低
攻撃に必要な特権レベル(PR) 高
利用者の関与(UI) 不要
影響の想定範囲(S) 変更なし
機密性への影響(C) 低
完全性への影響(I) 低
可用性への影響(A) 低
CVSS2.0 : MEDIUM
Score 4.6
Vector AV:L/AC:L/Au:N/C:P/I:P/A:P
攻撃元区分(AV) ローカル
攻撃条件の複雑さ(AC) 低
攻撃前の認証要否(Au) 不要
機密性への影響(C) 低
完全性への影響(I) 低
可用性への影響(A) 低
Get all privileges. いいえ
Get user privileges いいえ
Get other privileges いいえ
User operation required いいえ
Affected software configurations
Configuration1 or higher or less more than less than
cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* 4.1.0 4.1.39
cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* 5.5.0 5.5.27
cpe:2.3:a:apache:tomcat:*:*:*:*:*:*:*:* 6.0.0 6.0.18
Related information, measures and tools
Common Vulnerabilities List
JVN Vulnerability Information
Apache Tomcat における Web アプリケーションに関連するファイルを読まれる脆弱性
Title Apache Tomcat における Web アプリケーションに関連するファイルを読まれる脆弱性
Summary

Apache Tomcat には、Web アプリケーションが他の Web アプリケーションに対する XML パーサを置き換えることを許可するため、任意の Web アプリケーションの web.xml、context.xml、tld ファイルを読まれる、または改ざんされる脆弱性が存在します。

Possible impacts ローカルユーザによる目的のアプリケーションよりも先にロードされるよう巧妙に細工されたアプリケーションにより、ファイルを読まれる、または改ざんされる可能性があります。
Solution

ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
Publication Date June 5, 2009, midnight
Registration Date July 10, 2009, 12:09 p.m.
Last Update Sept. 28, 2012, 4:38 p.m.
Affected System
サン・マイクロシステムズ
OpenSolaris (sparc)
OpenSolaris (x86)
Sun Solaris 10 (sparc)
Sun Solaris 10 (x86)
Sun Solaris 9 (sparc)
Sun Solaris 9 (x86)
レッドハット
Red Hat Enterprise Linux 5 (server)
Red Hat Enterprise Linux Desktop 5.0 (client)
Red Hat Enterprise Linux EUS 5.3.z (server)
RHEL Desktop Workstation 5 (client)
ヒューレット・パッカード
HP-UX 11.11
HP-UX 11.23
HP-UX 11.31
HP-UX Tomcat-based Servlet Engine 
Apache Software Foundation
Apache Tomcat 4.1.0 から 4.1.39
Apache Tomcat 5.5.0 から 5.5.27
Apache Tomcat 6.0.0 から 6.0.18
サイバートラスト株式会社
Asianux Server 2.0
Asianux Server 2.1
Asianux Server 3 (x86)
Asianux Server 3 (x86-64)
アップル
Apple Mac OS X Server v10.5.8
Apple Mac OS X Server v10.6 から v10.6.2
VMware
VMware ESX 3.0.3
VMware ESX 3.5
VMware ESX 4.0
VMware Server 2.x
VMware vCenter 4.0
VMware VirtualCenter 2.0.2
VMware VirtualCenter 2.5
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
No Changed Details Date of change
0 [2009年07月10日]
  掲載
[2009年08月11日]
  影響を受けるシステム：サン・マイクロシステムズ (263529) の情報を追加
  影響を受けるシステム：レッドハット (RHSA-2009:1164) の情報を追加
  ベンダ情報：サン・マイクロシステムズ (263529) を追加
  ベンダ情報：レッドハット (RHSA-2009:1164) を追加
[2009年10月08日]
  影響を受けるシステム：ミラクル・リナックス (tomcat5-5.5.23-0jpp.7.2.1AXS3) の情報を追加
  影響を受けるシステム：ミラクル・リナックス (1794) の情報を追加
  ベンダ情報：ミラクル・リナックス (tomcat5-5.5.23-0jpp.7.2.1AXS3) を追加
  ベンダ情報：ミラクル・リナックス (1794) を追加
[2009年11月13日]
  影響を受けるシステム：ヒューレット・パッカード (HPSBUX02466) の情報を追加
  ベンダ情報：ヒューレット・パッカード (HPSBUX02466) を追加
[2010年01月05日]
  影響を受けるシステム：VMware (VMSA-2009-0016) の情報を追加
  ベンダ情報：VMware (VMSA-2009-0016) を追加
[2010年04月23日]
  影響を受けるシステム：アップル (HT4077) の情報を追加
  ベンダ情報：アップル (HT4077) を追加
[2010年12月13日]
  影響を受けるシステム：ヒューレット・パッカード (HPUXWSATW313) の情報を追加
  影響を受けるシステム：ヒューレット・パッカード (HPSBUX02579) の情報を追加
  ベンダ情報：ヒューレット・パッカード (HPUXWSATW313) を追加
  ベンダ情報：ヒューレット・パッカード (HPSBUX02579) を追加
[2012年09月28日]
  ベンダ情報：オラクル (Multiple vulnerabilities in Oracle Java Web Console) を追加		 Feb. 17, 2018, 10:37 a.m.