远程 Debian 10/11 主机上安装的多个程序包受到 dsa-4986 公告中提及的多个漏洞影响。

  - Apache Tomcat JNDI Realm 中的漏洞允许攻击者使用有效用户名的变体进行认证和/或绕过 LockOut Realm 提供的某些保护。此问题影响 Apache Tomcat 10.0.0-M1 至 10.0.5；9.0.0.M1 至 9.0.45；8.5.0 至 8.5.65。(CVE-2021-30640)

  - Apache Tomcat 8.5.0 到 8.5.63、9.0.0-M1 到 9.0.43 和 10.0.0-M1 到 10.0.2 未正确验证传入的 TLS 数据包。当 Tomcat 配置为对 TLS 使用 NIO+OpenSSL 或 NIO2+OpenSSL 时，可以使用特别构建的数据包来触发无限循环，从而导致拒绝服务。
    (CVE-2021-41079)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian DSA-4986-1：tomcat9 - 安全更新

medium Nessus 插件 ID 154177

未找到变更日志