F5 网络 BIG-IP：Apache Tomcat 6.x 漏洞 (K18174924)
medium Nessus 插件 ID 107135
语言：
简介
远程设备缺少供应商提供的安全修补程序。描述
Apache Tomcat 6.0.45 之前的 6.x 版、7.0.68 之前的 7.x 版、8.0.31 之前的 8.x 版以及 9.0.0.M2 之前的 9.x 版未将 org.apache.catalina.manager.StatusManagerServlet 放在 org/apache/catalina/core/RestrictedServlets.properties 列表上，可允许经认证的远程用户通过特制的 Web 应用程序，绕过预定的 SecurityManager 限制并读取任意 HTTP 请求，进而查找会话 ID 值。(CVE-2016-0706) 影响 经过身份验证的远程用户可以通过特制的 web 应用程序利用此漏洞绕过预定的安全管理器限制、读取任意 HTTP 请求并查找会话 ID 值。BIG-IP/Enterprise Manager BIG-IP 和 Enterprise Manager 系统不会使用受影响的功能。容易受到攻击的软件也存在；但软件的使用方式不会暴露出此漏洞。Traffix SDC 如果攻击者有系统本地网络的访问权限，就有可能会利用此漏洞；Tomcat 服务只能从内部网络访问。解决方案
升级到 F5 解决方案 K18174924 中列出的无漏洞版本之一。另见
插件详情
严重性: Medium
ID: 107135
文件名: f5_bigip_SOL18174924.nasl
版本: 3.3
类型: local
发布时间: 2018/3/6
最近更新时间: 2020/3/18
支持的传感器: Nessus
风险信息
VPR
风险因素: Low
分数: 2.2
CVSS v2
风险因素: Medium
基本分数: 4
矢量: CVSS2#AV:N/AC:L/Au:S/C:P/I:N/A:N
CVSS v3
风险因素: Medium
基本分数: 4.3
矢量: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
漏洞信息
CPE: cpe:/a:f5:big-ip_access_policy_manager, cpe:/a:f5:big-ip_advanced_firewall_manager, cpe:/a:f5:big-ip_application_acceleration_manager, cpe:/a:f5:big-ip_application_security_manager, cpe:/a:f5:big-ip_application_visibility_and_reporting, cpe:/a:f5:big-ip_global_traffic_manager, cpe:/a:f5:big-ip_link_controller, cpe:/a:f5:big-ip_local_traffic_manager, cpe:/a:f5:big-ip_policy_enforcement_manager, cpe:/a:f5:big-ip_wan_optimization_manager, cpe:/a:f5:big-ip_webaccelerator, cpe:/h:f5:big-ip, cpe:/h:f5:big-ip_protocol_security_manager
必需的 KB 项: Host/local_checks_enabled, Host/BIG-IP/hotfix, Host/BIG-IP/modules, Host/BIG-IP/version
补丁发布日期: 2018/3/5
漏洞发布日期: 2016/2/25
参考资料信息
CVE: CVE-2016-0706