发现多个应用程序提供的 XML 文件（例如 web.xml、content.xml、*.tld、*.tagx 和 *.jspx）解析外部实体，这可能引发 XML 外部实体 (XXE) 攻击。如果攻击者能够向 Tomcat 部署恶意应用程序，则可利用此缺陷避开 JSM 设置的安全限制，并且获取访问系统中敏感信息的权限。请注意，此缺陷仅影响其中 Tomcat 运行来自不受信任来源（例如共享托管环境）的应用程序的部署。(CVE-2013-4590)

发现在某些情况下，恶意 Web 应用程序可能替换 Apache Tomcat 用来为默认 servlet、JSP 文档、标签库描述符 (TLD) 和标签插件配置文件处理 XSLT 的 XML 解析器。注入的 XML 解析器可随后绕过在 XML 外部实体上施加的限制，和/或访问为在同一 Apache Tomcat 实例上部署的其他 Web 应用程序处理的 XML 文件。
(CVE-2014-0119)

必须重新启动 Tomcat，才能使此更新生效。

检测

Scientific Linux 安全更新：SL6.x 中的 tomcat6 (noarch)

medium Nessus 插件 ID 77144

未找到变更日志