Lukas Reschke 氏は、Java 用のコンテンツリポジトリ実装である Apache Jackrabbit が、Jackrabbit の webdav モジュールでクロスサイトリクエスト偽造に脆弱であることを発見しました。

POST リクエスト用の CSRF content-type チェックは、Content-Type ヘッダーフィールドの欠落を処理せず、フィールド値の大文字小文字の区別またはオプションパラメータに関しても検証しませんでした。これは、CSRF を介してリソースを作成するために悪用される可能性があります。

Debian 7「Wheezy」では、これらの問題はバージョン 2.3.6-1+deb7u2 で修正されました。

jackrabbit パッケージをアップグレードすることを推奨します。

注：Tenable Network Security は、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenable では、できる限り新たな問題を持ち込まないように、自動的に整理して書式設定するようにしています。

Lukas Reschke氏は、Java Technology API用のContent Repositoryの実装であるApache Jackrabbitが、HTTP POSTリクエストのContent-Typeヘッダーを正しくチェックしていないことを発見しました。これにより、悪意のあるWebサイトによるクロスサイトリクエスト偽造（CSRF）攻撃が可能になります。

Lukas Reschke discovered that Apache Jackrabbit, a content repository implementation for Java, was vulnerable to Cross-Site-Request-Forgery in Jackrabbit's webdav module.

The CSRF content-type check for POST requests did not handle missing Content-Type header fields, nor variations in field values with respect to upper/lower case or optional parameters. This could be exploited to create a resource via CSRF.

For Debian 7 'Wheezy', these problems have been fixed in version 2.3.6-1+deb7u2.

We recommend that you upgrade your jackrabbit packages.

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

Lukas Reschke discovered that Apache Jackrabbit, an implementation of the Content Repository for Java Technology API, did not correctly check the Content-Type header on HTTP POST requests, enabling Cross-Site Request Forgery (CSRF) attacks by malicious websites.

Lukas Reschke 發現，Java 的內容存放庫實作 Apache Jackrabbit 容易受到 Jackrabbit webdav 模組中的跨網站要求偽造問題影響。

POST 要求的 CSRF content-type 檢查未處理遺漏的 Content-Type 標頭欄位，也未處理與字母大小寫或選用參數有關的欄位值中的變數。此問題可遭惡意利用，並藉由 CSRF 建立資源。

針對 Debian 7「Wheezy」，這些問題已在 2.3.6-1+deb7u2 版本中修正。

建議您升級 jackrabbit 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Lukas Reschke 發現 Apache Jackrabbit (適用於 Java Technology API 的內容存放庫實作) 未正確檢查 HTTP POST 要求的 Content-Type 標頭，導致惡意網站發動跨網站要求偽造 (CSRF) 攻擊。

Lukas Reschke 发现，Java 的内容存储库实现 Apache Jackrabbit 容易受到 Jackrabbit webdav 模块中的跨站请求伪造影响。

POST 请求的 CSRF content-type 检查未处理缺失的 Content-Type 标头字段，也未处理与字母大小写或选用参数有关的域值中的变数。此可遭到利用，通过 CSRF 创建资源。

对于 Debian 7“Wheezy”，这些问题已在 2.3.6-1+deb7u2 版本中修复。

建议您升级 jackrabbit 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Lukas Reschke 发现 Apache Jackrabbit（适用于 Java Technology API 的内容存储库实现）未正确检查 HTTP POST 请求的 Content-Type 标头，此漏洞可导致恶意网站发起跨站请求伪造 (CSRF) 攻击。

ID	Name	Product	Family	Published	Updated	Severity
93569	Debian DLA-629-1：jackrabbit セキュリティ更新	Nessus	Debian Local Security Checks	9/19/2016	1/11/2021	high
93747	Debian DSA-3679-1: jackrabbit - セキュリティ更新	Nessus	Debian Local Security Checks	9/28/2016	1/11/2021	high
93569	Debian DLA-629-1 : jackrabbit security update	Nessus	Debian Local Security Checks	9/19/2016	1/11/2021	high
93747	Debian DSA-3679-1 : jackrabbit - security update	Nessus	Debian Local Security Checks	9/28/2016	1/11/2021	high
93569	Debian DLA-629-1：jackrabbit 安全性更新	Nessus	Debian Local Security Checks	9/19/2016	1/11/2021	high
93747	Debian DSA-3679-1：jackrabbit - 安全性更新	Nessus	Debian Local Security Checks	9/28/2016	1/11/2021	high
93569	Debian DLA-629-1：jackrabbit 安全更新	Nessus	Debian Local Security Checks	9/19/2016	1/11/2021	high
93747	Debian DSA-3679-1：jackrabbit - 安全更新	Nessus	Debian Local Security Checks	9/28/2016	1/11/2021	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high