Apache Tomcat 中提供的 CORS 筛选器默认设置是不安全的，并为所有源启用'supportsCredentials'。预计 CORS 筛选器用户将根据环境对其进行适当配置，而不是使用默认配置。因此，预计大多数用户不会受到此问题影响。(CVE-2018-8014) 在具有增补字符的 UTF-8 解码器中错误处理溢出，可导致解析器无限循环，从而导致拒绝服务。受影响的版本：Apache Tomcat 8.0.0.RC1 至 8.0.51，以及 7.0.28 至 7.0.86。(CVE-2018-1336) 当使用有 WebSocket 客户端的 TLS 时，缺少主机名称验证。默认启用这些项。受影响的版本：Apache Tomcat 8.0.0.RC1 至 8.0.52，以及 7.0.35 至 7.0.88。(CVE-2018-8034)

检测

Amazon Linux AMI : tomcat7 / tomcat80 (ALAS-2018-1055)

critical Nessus 插件 ID 111610

未找到变更日志