Debian DLA-2209-1：tomcat8 安全更新
critical Nessus 插件 ID 136951
语言：
简介
远程 Debian 主机缺少安全更新。描述
在 Tomcat servlet 和 JSP 引擎中发现多个安全漏洞。警告：CVE-2020-1938 的修复程序可能会中断依赖工作 AJP 配置的服务。现在，选项 secretRequired 默认为 true。您应在 server.xml 中设置密码，或者通过将 secretRequired 设置为 false 来恢复。
CVE-2019-17563
当使用具有 Apache Tomcat 的 FORM 身份验证时，存在一个窄窗口，攻击者可在此执行会话固定攻击。该窗口被认为太窄，不适于实际进行恶意利用，但是谨慎起见，还是将此问题视为安全漏洞。
CVE-2020-1935
在 Apache Tomcat 中，解析代码的 HTTP 标头使用了一种行尾解析方法，该方法允许某些无效 HTTP 标头解析为有效。如果 Tomcat 位于反向代理后面，而反向代理以特定方式错误地处理了无效的传输编码标头，则可能导致 HTTP 请求走私。此种反向代理被认为是不可能的。
CVE-2020-1938
当使用 Apache JServ Protocol (AJP) 时，当信任 Apache Tomcat 的传入连接时必须谨慎。Tomcat 将 AJP 连接视为比类似的 HTTP 连接（例如）具有更高的信任度。如果攻击者可使用此类连接，则他们会以惊人的方式利用此类连接。之前的 Tomcat 附带有默认已启用的 AJP 连接器，该连接器侦听所有配置的 IP 地址。预期（安全指南中建议）此连接器将在不需要的时候禁用。
. 请注意，Debian 已默认禁用 AJP 连接器。
仅当 AJP 端口可供不受信任的用户访问时才需要缓解。
CVE-2020-9484
当使用 Apache Tomcat 时，如果出现以下情况：a) 攻击者能够控制服务器上文件的内容和名称；b) 服务器配置为将 PersistenceManager 与 FileStore 一起使用；c) 为 PersistenceManager 配置了 sessionAttributeValueClassNameFilter='null'（未使用 SecurityManager 时，此为默认值）或者不太严格的过滤器，允许对攻击者提供的对象进行反序列化；d) 攻击者知道从 FileStore 使用的存储位置到其控制的文件的相对文件路径，则在使用特别构建的请求的情况下，该攻击者将能够通过反序列化其控制的文件来触发远程代码执行。请注意，从 a) 到 d) 的所有条件都必须为 true，攻击才能成功。
对于 Debian 8“Jessie”，已在版本 8.0.14-1+deb8u17 中修复这些问题。
我们建议您升级 tomcat8 程序包。
注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。
解决方案
升级受影响的程序包。另见
https://lists.debian.org/debian-lts-announce/2020/05/msg00026.html
插件详情
严重性: Critical
ID: 136951
文件名: debian_DLA-2209.nasl
版本: 1.10
类型: local
代理: unix
发布时间: 2020/5/29
最近更新时间: 2024/3/8
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent, Nessus
风险信息
VPR
风险因素: Critical
分数: 9.0
CVSS v2
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2020-1938
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 9.4
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:H/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:debian:debian_linux:libservlet3.1-java, p-cpe:/a:debian:debian_linux:libservlet3.1-java-doc, p-cpe:/a:debian:debian_linux:libtomcat8-java, p-cpe:/a:debian:debian_linux:tomcat8, p-cpe:/a:debian:debian_linux:tomcat8-admin, p-cpe:/a:debian:debian_linux:tomcat8-common, p-cpe:/a:debian:debian_linux:tomcat8-docs, p-cpe:/a:debian:debian_linux:tomcat8-examples, p-cpe:/a:debian:debian_linux:tomcat8-user, cpe:/o:debian:debian_linux:8.0
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可利用: true
易利用性: Exploits are available
补丁发布日期: 2020/5/28
漏洞发布日期: 2019/12/23
CISA 已知可遭利用的漏洞到期日期: 2022/3/17
参考资料信息
CVE: CVE-2019-17563, CVE-2020-1935, CVE-2020-1938, CVE-2020-9484
IAVA: 2020-A-0225-S