远程主机上安装的 Apache Tomcat 版本为低于 9.0.5 的 9.0.x。因而会受到安全限制缺陷的影响，导致资源暴露给未经授权的用户。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Apache Tomcat 版本为低于 8.5.28 的 8.5.x。因而会受到安全限制缺陷的影响，导致资源暴露给未经授权的用户。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Apache Tomcat 版本为低于 7.0.85 的 7.0.x。因而会受到安全限制缺陷的影响，导致资源暴露给未经授权的用户。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Apache Tomcat 版本为低于 7.0.85 的 7.0.x。因而会受到安全限制缺陷的影响，导致资源暴露给未经授权的用户。

远程主机上安装的 Apache Tomcat 版本为低于 9.0.5 的 9.0.x。因此，它受到安全限制缺陷的影响，该缺陷可导致资源暴露给未经授权的用户。); # http://tomcat.apache.org/security-9.html#Fixed_in_Apache_Tomcat_9.0.5script_set_attribute(attribute:see_also, value:http://www.nessus.org/u?909ff130

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，完全映射至环境 root 的（空字符串）的 URL 模式用作安全限制定义的一部分时未得到正确处理。这会造成限制被忽略。因此未经授权的用户可访问应该受到保护的 Web 应用程序资源。只有具有空字符串 URL 模式的安全限制会受到影响。(CVE-2018-1304)

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，由 Servlet 注释定义的安全限制仅在 Servlet 加载后才会应用。以此方式定义的安全限制会应用到 URL 模式以及该点之下的任何 URL，因此有些安全限制可能没有应用（视 Servlet 的加载顺序而定）。
    这可能导致资源泄漏给没有访问权限的用户。(CVE-2018-1305)

tomcat 更新现可用于 Red Hat Enterprise Linux 7。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Apache Tomcat 是适用于 Java Servlet 和 JavaServer Pages (JSP) 技术的 servlet 容器。安全修复：* tomcat：错误处理安全限制中的空字符串 URL 可能导致资源意外暴露 (CVE-2018-1304) * tomcat：若过晚应用安全限制，会导致资源泄漏给未经授权的用户 (CVE-2018-1305) * tomcat：在 CORS 筛选器中不安全的默认值，针对所有源启动“supportsCredentials”(CVE-2018-8014) * tomcat：WebSocket 客户端中缺少主机名验证 (CVE-2018-8034) 有关此安全问题的详细信息，包括其影响、CVSS 分数、致谢和其他相关信息，请参阅列于“参考”部分的 CVE 页面。更多变更：如需有关此发行版本的详细变更信息，请参阅可从“参考”部分链接的 Red Hat Enterprise Linux 7.7 发行说明。

在使用带有 WebSocket 客户端的 TLS 时，缺少主机名称验证。默认启用这些项。受影响的版本：Apache Tomcat 9.0.0.M1 至 9.0.9、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52 和 7.0.35 至 7.0.88。(CVE-2018-8034) 完全映射至环境 root 的 ''（空白字符串）的 URL 模式在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 以及 7.0.0 至 7.0.84 中用作安全限制定义的一部分时未得到正确处理。这会造成限制被忽略。因此未经授权的用户可访问应该受到保护的 Web 应用程序资源。只有具有空白字符串之 URL 模式的安全限制会受到影响。(CVE-2018-1304) 由 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 以及 7.0.0 至 7.0.84 中的 Servlet 注释定义的安全限制，仅在加载 Servlet 后才会应用。以此方式定义的安全限制会应用到 URL 模式以及该点之下的任何 URL，因此可能会根据加载 Servlet 的顺序，而没有应用部分安全限制。这可能导致向未获访问权限的用户泄漏资源。(CVE-2018-1305) Apache Tomcat 9.0.0.M1 至 9.0.8、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52、7.0.41 至 7.0.88 中提供的 CORS 筛选器默认设置是不安全的，并为所有源启用 'supportsCredentials'。预计 CORS 筛选器用户将根据环境对其进行适当配置，而不是使用默认配置。因此，预计大部分用户不会受到此问题的影响。(CVE-2018-8014) 当使用 Apache JServ Protocol (AJP) 时，当信任 Apache Tomcat 的传入连接时必须谨慎。Tomcat 将 AJP 连接视为比类似的 HTTP 连接（例如）具有更高的信任度。如果攻击者可使用此类连接，则他们会以惊人的方式利用此类连接。在 Apache Tomcat 9.0.0.M1 至 9.0.0.30、8.5.0 至 8.5.50 以及 7.0.0 至 7.0.99，配置有 AJP 连接器的 AJP 默认启用，该连接器侦听所有配置的 IP 地址。预期（安全指南中建议）此连接器将在不需要的时候禁用。此漏洞报告确定了允许以下内容的一种机制： - 从 web 应用程序中任意位置返回任意文件 - 作为 JSP 处理 web 应用程序中的任意文件。并且，如果 web 应用程序允许文件上传并在 web 应用程序中存储这些文件（或攻击者能够通过某些其他方式控制 web 应用程序的内容），则结合作为 JSP 处理文件的能力，共同使远程代码执行成为可能。注意仅当 AJP 端口可供不受信任的用户访问时才需要缓解，这一点很重要。希望采取深度防御方式并阻止允许返回任意文件并作为 JSP 执行之向量的用户可能会升级至 Apache Tomcat 9.0.31、8.5.51 或 7.0.100 或更高版本。9.0.31 中的默认 AJP 连接器配置做出许多更改，以强化默认配置。升级至 9.0.31、8.5.51 或 7.0.100 或更高版本的用户好像需要对其配置做出细微更改。(CVE-2020-1938) 作为此 CVE 修复的一部分，我们在默认配置中禁用 Tomcat 2019 AJP 连接器，与上游更改保持一致。此更改将要求使用默认 Tomcat 配置（AJP 连接器之前已启用）的客户在需要时明确重新启用连接器。同样需要注意的是，没有配置明确地址的连接器将仅绑定至环回地址。有关来自更新 tomcat8 和 tomcat7 前后的 netstat 输出，示例如下（请注意具有 tomcat7 和 tomcat8 的 AL1 和 AL2 上是一样的）AL2 tomcat8.5 : before : tcp6 0 0 :::8009 :::* LISTEN 25772/java tcp6 0 0 :::8080 :::* LISTEN 25772/java tcp6 0 0 127.0.0.1:8005 :::* LISTEN 25772/java After : tcp6 0 0 :::8080 :::* LISTEN 25772/java tcp6 0 0 127.0.0.1:8005 :::* LISTEN 25772/java 若要重新启用 Tomcat 中的 AJP 端口，用户可以遵循下列步骤：1) 对于 AL2 Core (tomcat7)：取消注释 /etc/tomcat/server.xml 中的下列行，并重新开始服务  2) 对于 AL2 Tomcat8.5 extra：取消注释 /etc/tomcat/server.xml 中的下列行，并重新开始服务  同时参见：Apache Tomcat 发行说明 Tomcat 7 <a href='http://tomcat.apache.org/security-8.html#Fixed_in_Apache_Tomcat_ 8.5.51'>Tomcat 8 RedHat <a href='https://access.redhat.com/solutions/4851251'> 解决方案

在 Tomcat servlet 和 JSP 引擎中发现多个问题。这些问题可能会造成未经授权访问受保护的资源、拒绝服务或信息泄露。

远程主机上安装的 Apache Tomcat 版本为低于 8.0.50 的 8.0.x。因而会受到安全限制缺陷的影响，导致资源暴露给未经授权的用户。

安全修复：- tomcat：错误处理安全约束中的空字符串 URL 可能导致资源意外泄露 (CVE-2018-1304) - tomcat：安全约束的后期应用会导致未经授权用户的资源泄露 (CVE-2018-1305) - tomcat：CORS 过滤器中的不安全默认值为所有源启用 'supportsCredentials'(CVE-2018-8014) - tomcat：WebSocket 客户端中缺少主机名验证 (CVE-2018-8034)

远程 Oracle Linux 7 主机上安装的多个程序包受到 ELSA-2019-2205 公告中提及的多个漏洞影响。

  - Apache Tomcat 9.0.0.M1 至 9.0.8、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52、7.0.41 至 7.0.88 中提供的 CORS 筛选器默认设置不安全，并会为所有来源启用“supportsCredentials”。预计 CORS 筛选器用户将根据环境对其进行适当配置，而不是使用默认配置。因此，预计大部分用户不会受到此问题的影响。(CVE-2018-8014)

  - 当使用有 WebSocket 客户端的 TLS 时，缺少主机名称验证。默认启用这些项。受影响的版本：Apache Tomcat 9.0.0.M1 至 9.0.9、8.5.0 至 8.5.31、8.0.0.RC1 至 8.0.52 和 7.0.35 至 7.0.88。(CVE-2018-8034)

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，完全映射至环境 root 的（空字符串）的 URL 模式用作安全限制定义的一部分时未得到正确处理。这会造成限制被忽略。因此未经授权的用户可访问应该受到保护的 Web 应用程序资源。只有具有空字符串 URL 模式的安全限制会受到影响。(CVE-2018-1304)

  - 在 Apache Tomcat 9.0.0.M1 至 9.0.4、8.5.0 至 8.5.27、8.0.0.RC1 至 8.0.49 和 7.0.0 至 7.0.84 版中，由 Servlet 注释定义的安全限制仅在 Servlet 加载后才会应用。以此方式定义的安全限制会应用到 URL 模式以及该点之下的任何 URL，因此有些安全限制可能没有应用（视 Servlet 的加载顺序而定）。
    这可能导致资源泄漏给没有访问权限的用户。(CVE-2018-1305)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 Tomcat servlet 和 JSP 引擎中发现两个安全漏洞。CVE-2018-1304 完全映射至环境 root 的“”（空白字符串）的 URL 模式在 Apache Tomcat 中用作安全限制定义的一部分时未得到正确处理。这会造成限制被忽略。因此未经授权的用户可访问本应受到保护的 web 应用程序资源。只有具有空白字符串之 URL 模式的安全限制会受到影响。CVE-2018-1305 由 Apache Tomcat 中的 Servlet 注释定义的安全限制，仅在加载 Servlet 后才会应用。以此方式定义的安全限制会应用到 URL 模式以及该点之下的任何 URL，因此可能会根据加载 Servlet 的顺序，而没有应用部分安全限制。此问题可能将资源泄露给未获访问权限的用户。对于 Debian 7“Wheezy”，这些问题已在 7.0.28-4+deb7u18 版本中修复。我们建议您升级 tomcat7 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

若过晚应用安全限制，会导致资源泄漏给未经授权的用户：由 Apache Tomcat 中的 Servlet 注释定义的安全限制，仅在加载 Servlet 后才会应用。以此方式定义的安全限制会应用到 URL 模式以及该点之下的任何 URL，因此可能会根据加载 Servlet 的顺序，而没有应用部分安全限制。这可能导致向未获访问权限的用户泄漏资源。(CVE-2018-1305) 错误处理安全限制中的空字符串 URL 可能导致资源意外暴露：完全映射至环境 root 的 '' (空白字符串) 的 URL 模式在 Apache Tomcat 中当做安全限制定义一部分使用时，未得到正确处理。这会造成限制被忽略。因此未经授权的用户可访问应该受到保护的 Web 应用程序资源。只有具有空白字符串之 URL 模式的安全限制会受到影响。(CVE-2018-1304)

远程主机上安装的 Oracle Secure Global Desktop 版本为 5.3 且缺少 2018 年 7 月关键修补程序更新 (CPU) 中的安全修补程序。因而受到多个漏洞的影响：- 在 FTP 连接关闭功能中，curl 7.54.1 到 curl 7.59.0 版本（包括 7.59.0 版本）包含可导致 DoS 和 RCE 条件的基于堆栈的缓冲区溢出漏洞。此漏洞似乎已在 curl < 7.54.1 和 curl >= 7.60.0 中得到修复。(CVE-2018-1000300) - Apache Tomcat 9.0.0.M1 到 9.0.4、8.5.0 到 8.5.27、8.0.0.RC1 到 8.0.49 和 7.0.0 到 7.0.84 版本中 Servlet 注释所定义的安全限制，仅在加载 Servlet 后应用。根据 Servlet 加载的顺序，可能无法应用某些安全限制。此问题可向未授权用户暴露资源。(CVE-2018-1305) -如果提供带有过多递归的恶意输入，具有递归定义的 ASN.1 类型可超过堆栈。此问题可导致拒绝服务攻击。在 OpenSSL 1.1.0h 中已修复（影响 1.1.0-1.1.0g）。在 OpenSSL 1.0.2o 中已修复（影响 1.0.2b-1.0.2n）。(CVE-2018-0739)

CGI Servlet 搜索算法的文件不正确可能导致配置错误：在适用于错误 61201 的修复中，Apache Tomcat 的文件包含 CGI Servlet 所使用之搜索算法的更新说明，以识别要执行的脚本。此更新不正确。因此，有些脚本可能无法如预期般执行，有些脚本则以非预期的方式执行。请注意，CGI servlet 的行为在这方面保持不变。仅针对行为错误的文件，而且已经更正。(CVE-2017-15706) 若过晚应用安全限制，会导致资源泄漏给未经授权的用户：由 Apache Tomcat 中的 Servlet 注释定义的安全限制，仅在加载 Servlet 后才会应用。以此方式定义的安全限制会应用到 URL 模式以及该点之下的任何 URL，因此可能会根据加载 Servlet 的顺序，而没有应用部分安全限制。这可能导致向未获访问权限的用户泄漏资源。(CVE-2018-1305) 错误处理安全限制中的空字符串 URL 可能导致资源意外暴露：完全映射至环境 root 的 '' (空白字符串) 的 URL 模式在 Apache Tomcat 中当做安全限制定义一部分使用时，未得到正确处理。这会造成限制被忽略。因此未经授权的用户可访问应该受到保护的 Web 应用程序资源。只有具有空白字符串之 URL 模式的安全限制会受到影响。(CVE-2018-1304)

在 Tomcat servlet 和 JSP 引擎中发现多个安全漏洞。CVE-2018-1304 完全映射至环境 root 的“”（空白字符串）的 URL 模式在 Apache Tomcat 中用作安全限制定义的一部分时未得到正确处理。这会造成限制被忽略。因此未经授权的用户可访问本应受到保护的 web 应用程序资源。只有具有空白字符串之 URL 模式的安全限制会受到影响。CVE-2018-1305 由 Apache Tomcat 中的 Servlet 注释定义的安全限制，仅在加载 Servlet 后才会应用。以此方式定义的安全限制会应用到 URL 模式以及该点之下的任何 URL，因此可能会根据加载 Servlet 的顺序，而没有应用部分安全限制。此问题可能将资源泄露给未获访问权限的用户。对于 Debian 8“Jessie”，这些问题已在 8.0:14-1+deb8u12 版本中修复。我们建议您升级 tomcat8 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

远程主机上安装的 Apache Tomcat 版本为低于 8.5.28 的 8.5.x。因而会受到安全限制缺陷的影响，导致资源暴露给未经授权的用户。

更新现在可用于 RHEL 6 的 Red Hat JBoss Web Server 3.1 和 RHEL 7 的 Red Hat JBoss Web Server 3.1。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat JBoss Web Server 是一组用于托管 Java Web 应用程序的完全集成且经过认证的组件。它由 Apache HTTP Server、Apache Tomcat Servlet 容器、Apache Tomcat Connector (mod_jk)、JBoss HTTP Connector (mod_cluster)、Hibernate 和 Tomcat Native 库组成。此 Red Hat JBoss Web Server 3.1 Service Pack 2 版本可替换 Red Hat JBoss Web Server 3.1，并包含多项漏洞补丁，详情请参阅“参考”部分中链接的版本说明文档。安全修复：* apr：Apr_time_exp_get() 函数中存在越界数组取消引用。(CVE-2017-12613) * tomcat：通过上传 JSP 远程执行代码 (CVE-2017-12615) * tomcat：使用 VirtualDirContext 时发生信息泄露 (CVE-2017-12616) * tomcat：CVE-2017-12615 远程代码执行绕过 (CVE-2017-12617) * tomcat-native：错误处理客户端凭证可导致 OCSP 检查绕过 (CVE-2017-15698) * tomcat：错误处理安全限制中的空字符串 URL 可能导致资源意外暴露 (CVE-2018-1304) * tomcat：安全限制应用延迟会导致资源暴露给无权限用户 (CVE-2018-1305) 有关此安全问题的详细信息，包括其影响、CVSS 分数、确认和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

发现 Tomcat 未能正确处理启动 HTTP PUT 时的配置。远程攻击者可利用此问题上传 JSP 文件至服务器并执行任意代码。此问题仅影响 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 17.10。
（CVE-2017-12616、CVE-2017-12617）

发现 Tomcat 包含错误的文件，其用来描述 CGI Servlet 用于识别所执行脚本的搜索算法。此问题仅影响 Ubuntu 17.10。(CVE-2017-15706)

发现 Tomcat 在安全限制定义下，未能正确处理空串 URL 模式。远程攻击者可能利用此问题获取 web 应用程序资源访问权，违背预期。此问题仅影响 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 17.10。(CVE-2018-1304)

发现 Tomcat 未能正确处理某些安全限制的应用。远程攻击者可能访问某些资源，违背预期。此问题仅影响 Ubuntu 14.04 LTS、Ubuntu 16.04 LTS 和 Ubuntu 17.10。(CVE-2018-1305)

发现 Tomcat CORS 筛选器默认配置不安全，并会为所有源启动“supportsCredentials”，违背预期。(CVE-2018-8014)

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
112292	Apache Tomcat 9.0.0.M1 < 9.0.5 安全限制弱点	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	medium
112298	Apache Tomcat 8.5.x < 8.5.28 安全限制弱点	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	medium
112307	Apache Tomcat 7.0.0 < 7.0.85 安全限制弱点	Web App Scanning	Component Vulnerability	2018/11/5	2023/3/14	medium
106975	Apache Tomcat 7.0.0 < 7.0.85 安全限制弱点	Nessus	Web Servers	2018/2/23	2024/5/6	medium
106978	Apache Tomcat 9.0.0.M1 < 9.0.5 不安全 CGI Servlet 搜索算法描述弱点	Nessus	Web Servers	2018/2/23	2024/5/6	medium
128376	CentOS 7：tomcat (CESA-2019:2205)	Nessus	CentOS Local Security Checks	2019/8/30	2019/12/31	critical
134569	Amazon Linux 2 : tomcat (ALAS-2020-1402)	Nessus	Amazon Linux Local Security Checks	2020/3/16	2023/1/11	critical
112185	Debian DSA-4281-1：tomcat8 - 安全更新	Nessus	Debian Local Security Checks	2018/8/30	2018/11/13	high
106976	Apache Tomcat 8.0.0.RC1 < 8.0.50 安全限制弱点	Nessus	Web Servers	2018/2/23	2024/5/6	low
128266	Scientific Linux 安全更新：SL7.x x86_64 上的 tomcat	Nessus	Scientific Linux Local Security Checks	2019/8/27	2024/5/1	critical
180856	Oracle Linux 7：tomcat (ELSA-2019-2205)	Nessus	Oracle Linux Local Security Checks	2023/9/7	2023/9/7	critical
107151	Debian DLA-1301-1：tomcat7 安全更新	Nessus	Debian Local Security Checks	2018/3/7	2021/1/11	medium
108597	Amazon Linux AMI : tomcat7 / tomcat8 (ALAS-2018-972)	Nessus	Amazon Linux Local Security Checks	2018/3/27	2018/7/13	medium
111333	Oracle Secure Global Desktop Multiple Vulnerabilities (July 2018 CPU)	Nessus	Misc.	2018/7/25	2021/10/25	critical
127697	RHEL 7 : tomcat (RHSA-2019:2205)	Nessus	Red Hat Local Security Checks	2019/8/12	2024/4/28	critical
108598	Amazon Linux AMI : tomcat80 (ALAS-2018-973)	Nessus	Amazon Linux Local Security Checks	2018/3/27	2018/7/13	medium
111391	Debian DLA-1450-1：tomcat8 安全更新	Nessus	Debian Local Security Checks	2018/7/30	2021/1/11	medium
106977	Apache Tomcat 8.5.x < 8.5.28 安全限制弱点	Nessus	Web Servers	2018/2/23	2024/5/6	low
107208	RHEL 6 / 7 : Red Hat JBoss Web Server 3.1.0 Service Pack 2 (RHSA-2018:0466)	Nessus	Red Hat Local Security Checks	2018/3/8	2023/4/25	high
110264	Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS：Tomcat 漏洞 (USN-3665-1)	Nessus	Ubuntu Local Security Checks	2018/5/31	2023/10/20	critical

检测

插件搜索

medium

medium

medium

medium

medium

critical

critical

high

low

critical

critical

medium

medium

critical

critical

medium

medium

low

high

critical