Debian DSA-2401-1:tomcat6 - 多个漏洞

high Nessus 插件 ID 57812

简介

远程 Debian 主机缺少与安全相关的更新。

描述

在 servlet 和 JSP 引擎 Tomcat 中发现了多个漏洞:

- CVE-2011-1184 CVE-2011-5062 CVE-2011-5063 CVE-2011-5064 HTTP Digest Access Authentication 实现对回放攻击执行的对策不充分。

- CVE-2011-2204 在极少的设置中,密码被写入日志文件中。

- CVE-2011-2526 HTTP APR 或 HTTP NIO 连接器中缺少输入审查可导致拒绝服务。

- CVE-2011-3190 某些设置中可伪造 AJP 请求。

- CVE-2011-3375 不正确的请求缓存可导致信息泄露。

- CVE-2011-4858 CVE-2012-0022 此更新添加了针对 Java 哈希表实现中的冲突拒绝服务漏洞的对策,解决了处理大量请求时潜在的拒绝服务。

有关更多信息,请访问

解决方案

升级 tomcat6 程序包。

对于稳定发行版本 (squeeze),已在版本 6.0.35-1+squeeze2 中修复此问题。

另见

https://security-tracker.debian.org/tracker/CVE-2011-1184

https://security-tracker.debian.org/tracker/CVE-2011-5062

https://security-tracker.debian.org/tracker/CVE-2011-5063

https://security-tracker.debian.org/tracker/CVE-2011-5064

https://security-tracker.debian.org/tracker/CVE-2011-2204

https://security-tracker.debian.org/tracker/CVE-2011-2526

https://security-tracker.debian.org/tracker/CVE-2011-3190

https://security-tracker.debian.org/tracker/CVE-2011-3375

https://security-tracker.debian.org/tracker/CVE-2011-4858

https://security-tracker.debian.org/tracker/CVE-2012-0022

https://packages.debian.org/source/squeeze/tomcat6

https://www.debian.org/security/2012/dsa-2401

插件详情

严重性: High

ID: 57812

文件名: debian_DSA-2401.nasl

版本: 1.17

类型: local

代理: unix

发布时间: 2012/2/3

最近更新时间: 2021/1/11

支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent

风险信息

VPR

风险因素: Medium

分数: 5.8

CVSS v2

风险因素: High

基本分数: 7.5

时间分数: 5.9

矢量: AV:N/AC:L/Au:N/C:P/I:P/A:P

时间矢量: E:POC/RL:OF/RC:C

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:tomcat6, cpe:/o:debian:debian_linux:6.0

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

可利用: true

易利用性: Exploits are available

补丁发布日期: 2012/2/2

参考资料信息

CVE: CVE-2011-1184, CVE-2011-2204, CVE-2011-2526, CVE-2011-3190, CVE-2011-3375, CVE-2011-4858, CVE-2011-5062, CVE-2011-5063, CVE-2011-5064, CVE-2012-0022

BID: 48456, 48667, 49353, 49762, 51200, 51442, 51447

DSA: 2401