根据其自我报告的版本号，远程主机上运行的 Apache Tomcat 服务为低于 7.0.78 的 7.0.x、低于 8.0.44 的 8.0.x，或低于 8.5.15 的 8.5.x。因此，受到错误页面报告机制中一个实现缺陷的影响，此机制未遵守 Java Servlet 规范，其要求按照 HTTP GET 请求处理静态错误页面，不论发生错误时所用的 HTTP 请求方式为何。根据原始请求和默认 Servlet 配置，未经身份验证的远程攻击者可利用此问题，取代或删除自定义错误页面。请注意，Nessus 并不试图利用此问题，而只依赖于应用程序自我报告的版本号。

检测

Apache Tomcat 7.0.x < 7.0.78 / 8.0.x < 8.0.44 / 8.5.x < 8.5.15 远程错误页面操纵

high Nessus 插件 ID 100681

未找到变更日志