tomcat6 的更新现在可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。安全修复：* 已发现 Tomcat 程序包安装的由 Tomcat 初始化脚本读取的某些配置文件，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-6325) * 已发现多个 Tomcat 会话持久性机制可允许经身份验证的远程用户通过 Web 应用程序，在会话中放置构建的对象，绕过预期的 SecurityManager 限制，并在特权环境中执行任意代码。(CVE-2016-0714) * 已发现 tomcat 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5388) * 在 Tomcat 的 RequestUtil.java 中发现目录遍历缺陷。经身份验证的远程用户可利用此缺陷，绕过预期 SecurityManager 限制，并通过 Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名的“/..”来列出父目录，$CATALINA_BASE/webapps 目录即为一例。(CVE-2015-5174) * 已发现即使目录受到安全限制保护，Tomcat 仍可泄露该目录的存在。用户可通过不以斜线结尾的 URL 来请求某目录，且可确认该目录是否存在（根据 Tomcat 是否重定向该请求）。(CVE-2015-5345) * 已发现当配置了安全管理员时，Tomcat 允许 Web 应用程序加载 StatusManagerServlet。这允许 Web 应用程序列出所有已部署的 Web 应用程序，并泄露会话 ID 等敏感信息。(CVE-2016-0706) Red Hat 在此感谢 Scott Geary (VendHQ) 报告 CVE-2016-5388。CVE-2016-6325 问题由 Red Hat 产品安全团队发现。缺陷补丁：* 由于 tomcat6 规范文件中的缺陷，所以在安装时会将 catalina.out 文件的 md5sum、大小、mtime 属性与该文件属性进行比较。由于这些属性在服务开始后发生更改，所以之前的“rpm -V”命令失败。通过此更新，在 RPM 验证中会忽略上述属性，且 catalina.out 文件现已通过验证检查。(BZ#1357123)

安全修复：- 已发现 Tomcat 程序包安装的配置文件 /usr/lib/tmpfiles.d/tomcat.conf，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-5425) - 已发现 Tomcat 程序包安装的由 Tomcat 初始化脚本读取的某些配置文件，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-6325) - 已发现表达式语言解析器对特权代码部分内的表达式求值。恶意 Web 应用程序可利用此缺陷绕过安全管理器保护。(CVE-2014-7810) - 已发现 tomcat 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5388) - 在 Tomcat 回收 requestedSessionSSL 字段的方式中发现会话固定缺陷。如果至少有一个 Web 应用程序配置为使用 SSL 会话 ID 作为 HTTP 会话 ID，则攻击者可重复使用之前用过的会话 ID 来提出进一步请求。(CVE-2015-5346)

Tomcat 的 CGI 支持使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能会利用此缺陷，通过恶意 HTTP 请求将 CGI 脚本执行的 HTTP 请求重定向到攻击者控制的代理（也称为“httpoxy”类漏洞）。

远程 Ubuntu 16.04 ESM 主机上安装的多个程序包受到 USN-4791-1 公告中提及的多个漏洞影响。

  - 当启用了 CGI Servlet 时，Apache Tomcat 7.x 到 7.0.70 以及 8.x 到 8.5.4 会遵循 RFC 3875 第 4.1.18 节的规定，因此不会针对 HTTP_PROXY 环境变量中出现的不受信任的客户端数据保护应用程序，这使得远程攻击者能够通过 HTTP 请求中特制的代理标头，将应用程序的出站 HTTP 流量重新定向到任意代理服务器，又称为“httpoxy”问题。注意：供应商表示计划在 Tomcat 的未来版本中采取缓解措施，跟踪为 CVE-2016-5388，即，这不是漏洞的 CVE ID。(CVE-2016-5388)

  - 具有补充字符的 UTF-8 解码器中错误处理溢出，可导致解析器无限循环，从而导致拒绝服务。受影响的版本：Apache Tomcat 9.0.0.M9 至 9.0.7、8.5.0 至 8.5.30、8.0.0.RC1 至 8.0.51 和 7.0.28 至 7.0.86。(CVE-2018-1336)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

发现当用户名不存在时，Tomcat realm 实施未能正确处理密码。远程攻击者可利用此问题枚举用户名。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-0762)

Alvaro Munoz 和 Alexander Mirosh 发现 Tomcat 未能正确限制某实用工具方法的使用。恶意应用程序可能利用此问题绕过安全管理器限制。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-5018)

发现 Tomcat 未能保护应用程序不受 HTTP_PROXY 环境变量的不可信数据影响。远程攻击者可利用此问题将出站流量重定向到任意代理服务器。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-5388)

发现 Tomcat 未能正确控制读取系统属性。恶意应用程序可能利用此问题绕过安全管理器限制。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6794)

发现 Tomcat 未能正确控制某些配置参数。恶意应用程序可能利用此问题绕过安全管理器限制。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-6796)

发现 Tomcat 未能正确限制全局 JNDI 资源访问。恶意应用程序可利用此问题访问任意全局 JNDI 资源，而无需明确的 ResourceLink。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-6797)

Regis Leroy 发现 Tomcat 未能正确从 HTTP 请求行中筛选出特定无效字符。远程攻击者可能利用此问题在 HTTP 响应中注入数据。
(CVE-2016-6816)

Pierre Ernst 发现 Tomcat JmxRemoteLifecycleListener 未能执行建议的修复。远程攻击者可能利用此问题执行任意代码。(CVE-2016-8735)

发现 Tomcat 未能正确处理发送文件代码中的错误处理。远程攻击者可利用此问题通过其他请求访问信息。(CVE-2016-8745)

Paul Szabo 发现 Tomcat 程序包未能正确处理升级和移除。本地攻击者可能利用此问题获取根权限。（CVE-2016-9774、CVE-2016-9775）

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

更新后的程序包提供了 Red Hat JBoss Web Server 3.0.3 Service Pack 1，且修复了两个安全问题和一个 ajp 缺陷，现已可用于 Red Hat Enterprise Linux 7。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

此 Red Hat JBoss Web Server 3.0.3 Service Pack 1 版本可用作 Red Hat JBoss Web Server 3.0.3 httpd 和 tomcat 的更新。

安全补丁：

* 已发现 httpd 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5387)

* 已发现 tomcat 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5388)

注意：在此更新后，httpd 将不再通过 HTTP_PROXY 环境变量将 Proxy 请求标头的值传递到脚本。

Red Hat 在此感谢 Scott Geary (VendHQ) 报告这些问题。

更新后的程序包提供了 Red Hat JBoss Web Server 3.0.3 Service Pack 1，且修复了两个安全问题和一个 ajp 缺陷，现已可用于 Red Hat Enterprise Linux 6。

Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。

此 Red Hat JBoss Web Server 3.0.3 Service Pack 1 版本可用作 Red Hat JBoss Web Server 3.0.3 httpd 和 tomcat 的更新。

安全补丁：

* 已发现 httpd 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5387)

* 已发现 tomcat 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5388)

注意：在此更新后，httpd 将不再通过 HTTP_PROXY 环境变量将 Proxy 请求标头的值传递到脚本。

Red Hat 在此感谢 Scott Geary (VendHQ) 报告这些问题。

安全修复：- 已发现 Tomcat 程序包安装的由 Tomcat 初始化脚本读取的某些配置文件，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-6325) - 已发现多个 Tomcat 会话持久性机制可允许经身份验证的远程用户通过 Web 应用程序，在会话中放置构建的对象，绕过预期的 SecurityManager 限制，并在特权环境中执行任意代码。(CVE-2016-0714) - 已发现 tomcat 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5388) - 在 Tomcat 的 RequestUtil.java 中发现目录遍历缺陷。经身份验证的远程用户可利用此缺陷，绕过预期 SecurityManager 限制，并通过 Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名的“/..”来列出父目录，$CATALINA_BASE/webapps 目录即为一例。(CVE-2015-5174) - 已发现即使目录受到安全限制保护，Tomcat 仍可泄露该目录的存在。用户可通过不以斜线结尾的 URL 来请求某目录，且可确认该目录是否存在（根据 Tomcat 是否重定向该请求）。(CVE-2015-5345) - 已发现当配置了安全管理员时，Tomcat 允许 Web 应用程序加载 StatusManagerServlet。这允许 Web 应用程序列出所有已部署的 Web 应用程序，并泄露会话 ID 等敏感信息。(CVE-2016-0706) 缺陷修复：- 由于 tomcat6 规范文件中的缺陷，所以在安装时会将 catalina.out 文件的 md5sum、大小、mtime 属性与该文件属性进行比较。由于这些属性在服务开始后发生更改，所以之前的“rpm -V”命令失败。通过此更新，在 RPM 验证中会忽略上述属性，且 catalina.out 文件现已通过验证检查。

Tomcat 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。安全修复：* 已发现 Tomcat 程序包安装的配置文件 /usr/lib/tmpfiles.d/tomcat.conf，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-5425) * 已发现 Tomcat 程序包安装的由 Tomcat 初始化脚本读取的某些配置文件，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-6325) * 已发现表达式语言解析器对特权代码部分内的表达式求值。恶意 Web 应用程序可利用此缺陷绕过安全管理器保护。(CVE-2014-7810) * 已发现 tomcat 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5388) * 在 Tomcat 回收 requestedSessionSSL 字段的方式中发现会话固定缺陷。如果至少有一个 Web 应用程序配置为使用 SSL 会话 ID 作为 HTTP 会话 ID，则攻击者可重复使用之前用过的会话 ID 来提出进一步请求。(CVE-2015-5346) Red Hat 在此感谢 Dawid Golunski (http://legalhackers.com) 报告 CVE-2016-5425 以及 Scott Geary (VendHQ) 报告 CVE-2016-5388。CVE-2016-6325 问题由 Red Hat 产品安全团队发现。

此 tomcat 更新可修复下列问题：

- CVE-2016-3092：使用有漏洞的 FileUpload 程序包可导致拒绝服务。(bsc#986359)

- CVE-2016-5388：通过 Proxy 标头设置 HTTP_PROXY 环境变量。(bsc#988489)

此更新从 SUSE:SLE-12-SP1:Update 项目导入。

Tomcat6 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。安全修复：* 已发现 Tomcat 程序包安装的由 Tomcat 初始化脚本读取的某些配置文件，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-6325) * 已发现多个 Tomcat 会话持久性机制可允许经身份验证的远程用户通过 Web 应用程序，在会话中放置构建的对象，绕过预期的 SecurityManager 限制，并在特权环境中执行任意代码。(CVE-2016-0714) * 已发现 tomcat 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5388) * 在 Tomcat 的 RequestUtil.java 中发现目录遍历缺陷。经身份验证的远程用户可利用此缺陷，绕过预期 SecurityManager 限制，并通过 Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名的“/..”来列出父目录，$CATALINA_BASE/webapps 目录即为一例。(CVE-2015-5174) * 已发现即使目录受到安全限制保护，Tomcat 仍可泄露该目录的存在。用户可通过不以斜线结尾的 URL 来请求某目录，且可确认该目录是否存在（根据 Tomcat 是否重定向该请求）。(CVE-2015-5345) * 已发现当配置了安全管理员时，Tomcat 允许 Web 应用程序加载 StatusManagerServlet。这允许 Web 应用程序列出所有已部署的 Web 应用程序，并泄露会话 ID 等敏感信息。(CVE-2016-0706) Red Hat 在此感谢 Scott Geary (VendHQ) 报告 CVE-2016-5388。CVE-2016-6325 问题由 Red Hat 产品安全团队发现。缺陷补丁：* 由于 tomcat6 规范文件中的缺陷，所以在安装时会将 catalina.out 文件的 md5sum、大小、mtime 属性与该文件属性进行比较。由于这些属性在服务开始后发生更改，所以之前的“rpm -V”命令失败。通过此更新，在 RPM 验证中会忽略上述属性，且 catalina.out 文件现已通过验证检查。(BZ#1357123)

远程主机上安装的 Oracle Enterprise Manager Grid Control 版本缺少一个安全修补程序。因而会受到多个漏洞的影响：- 由于未正确验证椭圆曲线中的点，Bouncy Castle Java 库中存在缺陷。未经身份验证的远程攻击者可利用此问题，通过使用一系列特制的椭圆曲线 Diffie-Hellman (ECDH) 密钥交换（亦称作“无效曲线攻击”），获得私钥。(CVE-2015-7940) - Perl 的 PathTools 模块中的 File::Spec::canonpath() 函数中存在缺陷，会在即使传输已污染的输入时，仍返回无污染字符串时会触发。未经身份验证的远程攻击者可利用此问题，将未经身份验证的用户输入传递至敏感或不安全区域。(CVE-2015-8607) - 由于未正确验证用户提供的输入，Perl 的 MapPathA() 函数中存在溢出情况。未经身份验证的远程攻击者可利用此问题造成拒绝服务情况或执行任意代码。(CVE-2015-8608) - 由于未正确处理 ActionForm 实例的多线程访问，Apache Struts 组件中存在远程代码执行漏洞。未经身份验证的远程攻击者可利用此问题，通过特制的多部分请求，执行任意代码或造成拒绝服务情况。(CVE-2016-1181) - Perl 中存在缺陷，当处理在环境 (envp)中出现两次的变量时会触发，造成 %ENV 中出现最末值，而 getenv 返回首个值。未经身份验证的远程攻击者可利用此问题，造成变量错误传播至子进程，与污染检查提供的保护无关。(CVE-2016-2381) - 处理文件上传请求时，由于未正确处理内容类型标头的边界，Apache Commons FileUpload 组件中存在拒绝服务漏洞。未经身份验证的远程攻击者可利用此问题，造成链接到库的进程无响应。(CVE-2016-3092) - 由于无法正确依据 RFC 3875 第 4.1.18 节解决命名空间冲突，多个组件（亦称作 ‘httpoxy’）中存在中间人漏洞。HTTP_PROXY 环境变量是基于 HTTP 请求的“Proxy”标头中不受信任的用户数据所设置。某些 Web 客户端库会使用 HTTP_PROXY 环境变量来指定远程代理服务器。未经身份验证的远程攻击者可利用此问题，通过 HTTP 请求中构建的“Proxy”标头，将应用程序的内部 HTTP 流量重定向到其可观察或操控的任意代理服务器。(CVE-2016-5385, CVE-2016-5386, CVE-2016-5387, CVE-2016-5388) - OpenSSL 组件的 x86_64 Montgomery 平方运算实现中存在一个进位传播错误，可造成 BN_mod_exp() 函数产生错误结果。未经身份验证却具有充足资源的远程攻击者可利用此问题，获取有关私钥的敏感信息。另外，在具有持久性 DH 参数且多个客户端共享私钥的情况下，攻击者还需要额外使用目标私钥，在线访问未经修复的系统。例如，在基于 OpenSSL DHE 的 SSL/TLS 密码套件中，默认会发生上述情况。(CVE-2017-3732) - UI Framework 组件中存在不明缺陷，允许经身份验证的远程攻击者影响完整性。(CVE-2017-10091)

远程 Web 服务器上运行的 Web 应用程序受到一个中间人漏洞（称为“httpoxy”）影响，造成此漏洞的原因是无法依据 RFC 3875 第 4.1.18 节妥善地解决命名空间冲突。HTTP_PROXY 环境变量是基于 HTTP 请求的“Proxy”标头中不受信任的用户数据所设置。某些 Web 客户端库会使用 HTTP_PROXY 环境变量来指定远程代理服务器。未经认证的远程攻击者可利用此问题，通过 HTTP 请求中构建的“Proxy”标头，将应用程序的内部 HTTP 流量重定向到其可观察或操控的任意代理服务器。

USN-3177-1 修复了 Tomcat 漏洞。此更新在 Tomcat 以安全管理器启动的环境中引入了回归。此更新修复了该问题。

我们对不便之处表示抱歉。

发现当用户名不存在时，Tomcat realm 实施未能正确处理密码。远程攻击者可利用此问题枚举用户名。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-0762)

Alvaro Munoz 和 Alexander Mirosh 发现 Tomcat 未能正确限制某实用工具方法的使用。恶意应用程序可能利用此问题绕过安全管理器限制。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-5018)

发现 Tomcat 未能保护应用程序不受 HTTP_PROXY 环境变量的不可信数据影响。
远程攻击者可利用此问题将出站流量重定向到任意代理服务器。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-5388)

发现 Tomcat 未能正确控制读取系统属性。恶意应用程序可能利用此问题绕过安全管理器限制。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6794)

发现 Tomcat 未能正确控制某些配置参数。恶意应用程序可能利用此问题绕过安全管理器限制。
此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6796)

发现 Tomcat 未能正确限制全局 JNDI 资源访问。恶意应用程序可利用此问题访问任意全局 JNDI 资源，而无需明确的 ResourceLink。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6797)

Regis Leroy 发现 Tomcat 未能正确从 HTTP 请求行中筛选出特定无效字符。远程攻击者可能利用此问题在 HTTP 响应中注入数据。(CVE-2016-6816)

Pierre Ernst 发现 Tomcat JmxRemoteLifecycleListener 未能执行建议的修复。远程攻击者可能利用此问题执行任意代码。(CVE-2016-8735)

发现 Tomcat 未能正确处理发送文件代码中的错误处理。远程攻击者可利用此问题通过其他请求访问信息。(CVE-2016-8745)

Paul Szabo 发现 Tomcat 程序包未能正确处理升级和移除。本地攻击者可能利用此问题获取根权限。
（CVE-2016-9774、CVE-2016-9775）

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

来自 Red Hat 安全公告 2016:2046： tomcat 更新现可用于 Red Hat Enterprise Linux 7。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。 安全补丁： * 已发现 Tomcat 程序包安装的配置文件 /usr/lib/tmpfiles.d/tomcat.conf，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-5425) * 已发现 Tomcat 程序包安装的由 Tomcat 初始化脚本读取的某些配置文件，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-6325) * 已发现表达式语言解析器对特权代码部分内的表达式求值。恶意 Web 应用程序可利用此缺陷绕过安全管理器保护。(CVE-2014-7810) * 已发现 tomcat 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5388) * 在 Tomcat 回收 requestedSessionSSL 字段的方式中发现一个会话固定缺陷。如果至少有一个 Web 应用程序配置为使用 SSL 会话 ID 作为 HTTP 会话 ID，则攻击者可重复使用之前用过的会话 ID 来提出进一步请求。(CVE-2015-5346) Red Hat 在此感谢 Dawid Golunski (http://legalhackers.com) 报告 CVE-2016-5425 以及 Scott Geary (VendHQ) 报告 CVE-2016-5388。CVE-2016-6325 问题由 Red Hat 产品安全团队发现。

tomcat 的更新现在可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。安全修复：* 已发现 Tomcat 程序包安装的配置文件 /usr/lib/tmpfiles.d/tomcat.conf，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-5425) * 已发现 Tomcat 程序包安装的由 Tomcat 初始化脚本读取的某些配置文件，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-6325) * 已发现表达式语言解析器对特权代码部分内的表达式求值。恶意 Web 应用程序可利用此缺陷绕过安全管理器保护。(CVE-2014-7810) * 已发现 tomcat 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5388) * 在 Tomcat 回收 requestedSessionSSL 字段的方式中发现会话固定缺陷。如果至少有一个 Web 应用程序配置为使用 SSL 会话 ID 作为 HTTP 会话 ID，则攻击者可重复使用之前用过的会话 ID 来提出进一步请求。(CVE-2015-5346) Red Hat 在此感谢 Dawid Golunski (http://legalhackers.com) 报告 CVE-2016-5425 以及 Scott Geary (VendHQ) 报告 CVE-2016-5388。CVE-2016-6325 问题由 Red Hat 产品安全团队发现。

来自 Red Hat 安全公告 2016:2045： tomcat6 更新现可用于 Red Hat Enterprise Linux 6。 Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。 安全补丁： * 已发现 Tomcat 程序包安装的由 Tomcat 初始化脚本读取的某些配置文件，可写入 tomcat 群组。群组中的成员或部署在 Tomcat 上的恶意 Web 应用程序可使用此缺陷，升级其权限。(CVE-2016-6325) * 已发现多个 Tomcat 会话持久性机制可允许经认证的远程用户通过 Web 应用程序，在会话中放置构建的对象，绕过预期的 SecurityManager 限制，并在特权上下文中执行任意代码。(CVE-2016-0714) * 已发现 tomcat 使用 HTTP 请求中 Proxy 标头的值来初始化 CGI 脚本的 HTTP_PROXY 环境变量，而某些 HTTP 客户端实现会不当使用这些变量来配置传出 HTTP 请求的代理。远程攻击者可能利用此缺陷，通过恶意 HTTP 请求，将 CGI 脚本执行的 HTTP 请求重定向到受攻击者控制的代理。(CVE-2016-5388) * 在 Tomcat 的 RequestUtil.java 中发现一个目录遍历缺陷。经身份验证的远程用户可利用此缺陷，绕过预期 SecurityManager 限制，并通过 Web 应用程序在 getResource、getResourceAsStream 或 getResourcePaths 调用中使用的路径名的“/..”来列出父目录，$CATALINA_BASE/webapps 目录即为一例。(CVE-2015-5174) * 已发现即使目录受到安全限制保护，Tomcat 仍可泄露该目录的存在。用户可通过不以斜线结尾的 URL 来请求某目录，且可确认该目录是否存在（根据 Tomcat 是否重定向该请求）。(CVE-2015-5345) * 已发现当配置了安全管理员时，Tomcat 允许 Web 应用程序加载 StatusManagerServlet。 这允许 Web 应用程序列出所有已部署的 Web 应用程序，并泄露会话 ID 等敏感信息。(CVE-2016-0706) Red Hat 在此感谢 Scott Geary (VendHQ) 报告 CVE-2016-5388。CVE-2016-6325 问题由 Red Hat 产品安全团队发现。 缺陷补丁： * 由于 tomcat6 规范文件中的缺陷，所以在安装时会将 catalina.out 文件的 md5sum、大小、mtime 属性与该文件属性进行比较。由于这些属性在服务开始后发生更改，所以之前的“rpm -V”命令失败。通过此更新，在 RPM 验证中会忽略上述属性，且 catalina.out 文件现已通过验证检查。(BZ#1357123)

根据其标题，远程 Web 服务器上托管的 HP System Management Homepage (SMH) 版本低于 7.6。因而会受到以下漏洞的影响：- OpenSSL 中文件 crypto/evp/encode.c 内的 EVP_EncodeUpdate() 函数存在堆缓冲区溢出情况，处理大量输入数据时会遭到触发。未经身份验证的远程攻击者可利用此缺陷造成拒绝服务情况。(CVE-2016-2105) - OpenSSL 中文件 crypto/evp/evp_enc.c 内的 EVP_EncryptUpdate() 函数存在堆缓冲区溢出情况，在前一次调用使用部分区块调用相同函数之后，处理大量输入数据时会遭到触发。未经身份验证的远程攻击者可利用此缺陷造成拒绝服务情况。(CVE-2016-2106) - OpenSSL 的 crypto/evp/e_aes_cbc_hmac_sha1.c 文件中的 aesni_cbc_hmac_sha1_cipher() 函数及 crypto/evp/e_aes_cbc_hmac_sha256.c 文件中的 aesni_cbc_hmac_sha256_cipher() 函数存在多个缺陷，连接使用 AES-CBC 密码，且服务器支持 AES-NI 时，可触发这些缺陷。中间人攻击者可利用这些漏洞，发动 padding oracle 攻击，进而解密网络流量。(CVE-2016-2107) - 由于无效编码造成分配大量内存，从 BIO 读取 ASN.1 数据时，OpenSSL 中的 d2i BIO 函数存在多个不明缺陷。未经身份验证的远程攻击者可利用这些缺陷，通过资源耗尽造成拒绝服务情况。(CVE-2016-2109) - 由于未正确验证 TLS 证书，cURL 和 libcurl 中存在证书验证绕过漏洞。中间人攻击者可利用此问题，通过看似有效的欺骗证书，泄露或操控发送的数据。(CVE-2016-3739) - 由于未正确验证用户提供的输入，PHP 中 ext/standard/url.c 文件内 php_raw_url_encode() 函数存在整数溢出情况。未经身份验证的远程攻击者可利用此问题造成不明影响。(CVE-2016-4070) - PHP 中 ext/snmp/snmp.c 文件内的 php_snmp_error() 函数存在缺陷，在处理格式字符串说明符时会遭到触发。未经身份验证的远程攻击者可利用此问题，通过特制的 SNMP 对象，造成拒绝服务，或是执行任意代码。(CVE-2016-4071) - 处理 phar 文件名的路径时，PHP 中存在无效的内存写入错误，允许攻击者造成不明影响。(CVE-2016-4072) - 由于未正确处理零长度未压缩数据，PHP 中的 phar_object.c 内存在远程代码执行漏洞。未经身份验证的远程攻击者可利用此问题，通过特制的 TAR、ZIP 或 PHAR 文件，造成拒绝服务情况或执行任意代码。(CVE-2016-4342) - 由于未正确处理 ././@LongLink 文件，PHP 中 ext/phar/dirstream.c 文件内的 phar_make_dirstream() 函数存在远程代码执行漏洞。未经身份验证的远程攻击者可利用此问题，通过特制的 TAR 文件，造成拒绝服务情况或执行任意代码。(CVE-2016-4343) - 由于未正确验证用户提供的输入，因而存在跨站脚本 (XSS) 漏洞。未经验证远程攻击者可利用此漏洞，通过特制的请求，在用户浏览器会话中执行任意脚本代码。(CVE-2016-4393) - 存在不明 HTTP 严格传输安全 (HSTS) 绕过漏洞，允许经身份验证的远程攻击者泄露敏感信息。(CVE-2016-4394) - 存在远程代码执行漏洞，这是由于分析提供给 /proxy/SetSMHData 端点的管理组参数时，未正确验证用户提供的输入而导致 mod_smh_config.so 库溢出情况。未经身份验证的远程攻击者可利用此情况，通过特制的请求，造成拒绝服务情况，或是执行任意代码。(CVE-2016-4395) - 存在远程代码执行漏洞，这是由于分析提供给 /Proxy/SSO 端点的 TKN 参数时，未正确验证用户提供的输入而导致 mod_smh_config.so 库溢出情况。未经身份验证的远程攻击者可利用此情况，通过特制的请求，造成拒绝服务情况，或是执行任意代码。(CVE-2016-4396) - 处理负比例时，PHP 中 bcmath.c 内的 php_str2num() 函数存在越界读取错误。未经身份验证的远程攻击者可利用此错误，通过特制的调用造成拒绝服务情况或泄露内存内容。(CVE-2016-4537) - 由于修改某些数据结构时未考虑其是否为 _zero_、_one_ 或 _two_ 全局变量的副本，PHP 中 bcmath.c 内的 cpowmod() 函数存在缺陷。未经身份验证的远程攻击者可利用此问题，通过特制的调用造成拒绝服务情况。(CVE-2016-4538) - 处理特制的 XML 内容时，PHP 中 xml.c 内的 ml_parse_into_struct() 函数存在缺陷。未经身份验证的远程攻击者可利用此缺陷造成拒绝服务情况。(CVE-2016-4539) - 处理 zif_grapheme_stripos() 和 zif_grapheme_strpos() 函数中的负偏移时，PHP 中的 ext/intl/grapheme/grapheme_string.c 文件存在多个越界读取错误。未经身份验证的远程攻击者可利用这些问题造成拒绝服务情况或泄露内存内容。(CVE-2016-4540, CVE-2016-4541) - 由于不当构建 spprintf 参数，PHP 中 exif.c 内的 exif_process_IFD_TAG() 函数存在缺陷。未经身份验证的远程攻击者可利用此问题，通过构建的标头数据造成越界读取错误，进而导致拒绝服务情况，或泄露内存内容。(CVE-2016-4542) - 由于不当验证 IFD 大小，PHP 中 exif.c 内的 exif_process_IFD_in_JPEG() 函数存在缺陷。未经身份验证的远程攻击者可利用此问题，通过构建的标头数据造成越界读取错误，进而导致拒绝服务情况，或泄露内存内容。(CVE-2016-4543) - 由于无法正确依据 RFC 3875 第 4.1.18 节解决命名空间冲突，Apache Tomcat、Apache HTTP Server 和 PHP 中存在中间人漏洞（称为“httpoxy”）。HTTP_PROXY 环境变量是基于 HTTP 请求的“Proxy”标头中不受信任的用户数据所设置。某些 Web 客户端库会使用 HTTP_PROXY 环境变量来指定远程代理服务器。远程攻击者可利用此问题，通过 HTTP 请求中构建的“Proxy”标头，将应用程序的内部 HTTP 流量重定向到其可观察或操控的任意代理服务器。(CVE-2016-5385, CVE-2016-5387, CVE-2016-5388) 请注意，Nessus 并未针对这些问题进行测试，而仅依赖应用程序自我报告的版本号。

Java Servlet 和 JSP 引擎 tomcat8 中修复了多个次要问题。CVE-2016-5388 当启用了 CGI Servlet 时，Apache Tomcat 会遵循 RFC 3875 第 4.1.18 节的规定，因此不会针对 HTTP_PROXY 环境变量中出现的不受信任的客户端数据保护应用程序，这使得远程攻击者能够通过 HTTP 请求中特制的代理标头，将应用程序的出站 HTTP 流量重新定向到任意代理服务器，又称为“httpoxy”问题。现在“cgi”servlet 中拥有“envHttpHeaders”参数，可用于过滤环境变量。CVE-2018-8014 Apache Tomcat 中提供的 CORS 筛选器默认设置是不安全的，并为所有源启用'supportsCredentials'。预计 CORS 筛选器用户将根据环境对其进行适当配置，而不是使用默认配置。因此，预计大部分用户不会受到此问题的影响。CVE-2019-0221 Apache Tomcat 中的 SSI printenv 命令发回用户提供的数据而不进行转义，因此容易受到 XSS 的攻击。SSI 默认情况下被禁用。printenv 命令用于调试，不太可能出现在生产网站上。对于 Debian 8“Jessie”，这些问题已在 8.0:14-1+deb8u15 版本中修复。我们建议您升级 tomcat8 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
93950	RHEL 6 : tomcat6 (RHSA-2016:2045) (httpoxy)	Nessus	Red Hat Local Security Checks	2016/10/11	2019/10/24	high
94005	Scientific Linux 安全更新：SL7.x 中的 tomcat (noarch) (httpoxy)	Nessus	Scientific Linux Local Security Checks	2016/10/12	2021/1/14	high
92469	Amazon Linux AMI：tomcat6 / tomcat7、tomcat8 (ALAS-2016-722)	Nessus	Amazon Linux Local Security Checks	2016/7/21	2018/4/18	high
183616	Ubuntu 16.04 ESM：Apache Tomcat 7 漏洞 (USN-4791-1)	Nessus	Ubuntu Local Security Checks	2023/10/20	2023/10/20	high
96720	Ubuntu 14.04 LTS / 16.04 LTS：Tomcat 漏洞 (USN-3177-1)	Nessus	Ubuntu Local Security Checks	2017/1/24	2023/10/20	critical
93043	RHEL 7：Red Hat JBoss Web Server 3.0.3 Service Pack 1 (RHSA-2016:1635)	Nessus	Red Hat Local Security Checks	2016/8/19	2021/2/5	high
93044	RHEL 6：Red Hat JBoss Web Server 3.0.3 Service Pack 1 (RHSA-2016:1636)	Nessus	Red Hat Local Security Checks	2016/8/19	2021/2/5	high
94004	Scientific Linux 安全更新：SL6.x 中的 tomcat6 (noarch) (httpoxy)	Nessus	Scientific Linux Local Security Checks	2016/10/12	2021/1/14	high
93966	CentOS 7 : tomcat (CESA-2016:2046) (httpoxy)	Nessus	CentOS Local Security Checks	2016/10/12	2021/1/4	high
93362	openSUSE 安全更新：tomcat (openSUSE-2016-1056)	Nessus	SuSE Local Security Checks	2016/9/8	2021/1/19	high
93965	CentOS 6 : tomcat6 (CESA-2016:2045) (httpoxy)	Nessus	CentOS Local Security Checks	2016/10/12	2021/1/4	high
101837	Oracle Enterprise Manager Grid Control Multiple Vulnerabilities (July 2017 CPU) (httpoxy)	Nessus	Misc.	2017/7/20	2022/4/11	critical
92539	HTTP_PROXY 环境变量命名空间冲突漏洞 (httpoxy)	Nessus	Web Servers	2016/7/25	2022/4/11	high
96978	Ubuntu 14.04 LTS：Tomcat 回归 (USN-3177-2)	Nessus	Ubuntu Local Security Checks	2017/2/3	2023/10/20	critical
93948	Oracle Linux 7 : tomcat (ELSA-2016-2046) (httpoxy)	Nessus	Oracle Linux Local Security Checks	2016/10/11	2021/1/14	high
93951	RHEL 7 : tomcat (RHSA-2016:2046) (httpoxy)	Nessus	Red Hat Local Security Checks	2016/10/11	2019/10/24	high
93947	Oracle Linux 6 : tomcat6 (ELSA-2016-2045) (httpoxy)	Nessus	Oracle Linux Local Security Checks	2016/10/11	2021/1/14	high
94654	HP System Management Homepage < 7.6 多个漏洞 (HPSBMU03653) (httpoxy)	Nessus	Web Servers	2016/11/9	2022/4/11	high
127865	Debian DLA-1883-1：tomcat8 安全更新 (httpoxy)	Nessus	Debian Local Security Checks	2019/8/14	2024/5/3	critical

检测

插件搜索

high

high

high

high

critical

high

high

high

high

high

high

critical

high

critical

high

high

high

high

critical