错误页面机制中的安全限制绕过：调查错误 60718 时，在 Apache Tomcat 9.0.0.M1 到 9.0.0.M17、8.5.0 到 8.5.11、8.0.0.RC1 到 8.0.41，以及 7.0.0 到 7.0.75 中，注意到对应用程序侦听器的部分调用没有使用适当的 facade 对象。在 SecurityManager 下运行不受信任的应用程序时，该不受信任的应用程序可能会因此保留对请求或响应对象的参照，因而访问和/或修改与另一个Web 应用程序相关的信息。(CVE-2017-5664) 对应用程序侦听器的调用没有使用适当的 facade 对象：在 tomcat 中发现漏洞。某些情况下，在 SecurityManager 下运行不受信任的应用程序时，其可能会保留对请求或响应对象的引用，从而访问和/或修改与其他 Web 应用程序相关的信息。(CVE-2017-5648) Apache Tomcat 9.0.0.M1 到 9.0.0.M21、8.5.0 到 8.5.15、8.0.0.RC1 到 8.0.44 和 7.0.41 到 7.0.78 中的 CORS 过滤器未加入表示响应会随着来源而不同的 HTTP Vary 标头。在某些情况下，这允许客户端和服务器端缓存破坏。(CVE-2017-7674)

检测

Amazon Linux AMI : tomcat7 (ALAS-2017-873)

critical Nessus 插件 ID 102547

未找到变更日志