远程主机上安装的 tomcat8 版本低于 8.5.81-1.91。因此，它受到 ALAS-2022-1627 公告中提及的多个漏洞影响。

  - 在 Apache Tomcat 8.5.0 至 8.5.75 或 Apache Tomcat 9.0.0.M1 至 9.0.20 版本上，如果运行的 Web 应用程序在 WebSocket 连接关闭的同时发送 WebSocket 消息，则该应用程序可能会在连接关闭后继续使用这个套接字。在此情况下触发的错误处理可能导致池对象被放入池中两次。这有可能导致后续的连接同时使用同一个对象，从而造成错误使用返回的数据返和/或引发其他错误。(CVE-2022-25762)

  - EncryptInterceptor 的 Apache Tomcat 10.1.0-M1 至 10.1.0-M14、10.0.0-M1 至 10.0.20、 9.0.13 至 9.0.62 和 8.5.38 至 8.5.78 版本的文档错误地声明其启用了 Tomcat 群集以溢出不受信任的网络。此说法不正确。尽管 EncryptInterceptor 确实提供了机密性和完整性保护，但并不能防范与在任何不受信任的网络上运行相关的所有风险，尤其是 DoS 风险。 (CVE-2022-29885)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux AMI：tomcat8 (ALAS-2022-1627)

high Nessus 插件 ID 163869

版本 1.3