Apache Tomcat 4.x < 4.1.0 多种漏洞

medium Nessus 插件 ID 50475

语言:

简介

远程 Apache Tomcat 服务器受到多个漏洞的影响。

描述

根据其自我报告的版本号,在远程主机上监听的 Apache Tomcat 4.x 实例版本低于 4.1.0。因此,该服务器受到多个漏洞的影响:

- 对格式错误的数据包的处理方法中存在错误,可以导致处理线程处于没有响应的状态。一系列此类请求可导致所有线程都失去响应。(CVE-2003-0866)

- 两个示例 servlet,即“snoop”和故障排除 servlet,会泄露 Apache Tomcat 安装路径。。
(CVE-2002-2006)

- 同样已报告此版本的 Tomcat 受到跨站脚本漏洞的影响。
如果没有对请求 URL 的内容进行足够的清除就将其返回浏览器,则会导致错误。

请注意,Nessus 尚未测试这些问题,而是只依靠应用程序自我报告的版本号。

解决方案

升级到 Apache Tomcat 4.1.0 版本或更高版本。

另见

http://tomcat.apache.org/security-4.html#Fixed_in_Apache_Tomcat_4.1.0

https://seclists.org/bugtraq/2002/Apr/322

插件详情

严重性: Medium

ID: 50475

文件名: tomcat_4_1_0.nasl

版本: 1.19

类型: combined

代理: windows, macosx, unix

系列: Web Servers

发布时间: 2010/11/4

最近更新时间: 2022/4/11

配置: 启用彻底检查

支持的传感器: Nessus Agent

风险信息

VPR

风险因素: Medium

分数: 4.4

CVSS v2

风险因素: Medium

基本分数: 5

时间分数: 3.9

矢量: AV:N/AC:L/Au:N/C:N/I:N/A:P

时间矢量: E:POC/RL:OF/RC:C

CVSS 分数来源: CVE-2003-0866

CVSS v3

风险因素: Medium

基本分数: 5.3

时间分数: 4.8

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

时间矢量: E:P/RL:O/RC:C

漏洞信息

CPE: cpe:/a:apache:tomcat

必需的 KB 项: installed_sw/Apache Tomcat

可利用: true

易利用性: Exploits are available

补丁发布日期: 2002/8/30

漏洞发布日期: 2002/4/22

参考资料信息

CVE: CVE-2002-2006, CVE-2003-0866

BID: 4575, 5542, 8824

CWE: 20, 74, 79, 442, 629, 711, 712, 722, 725, 750, 751, 800, 801, 809, 811, 864, 900, 928, 931, 990