发现当用户名不存在时，Tomcat realm 实施未能正确处理密码。远程攻击者可利用此问题枚举用户名。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-0762)

Alvaro Munoz 和 Alexander Mirosh 发现 Tomcat 未能正确限制某实用工具方法的使用。恶意应用程序可能利用此问题绕过安全管理器限制。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-5018)

发现 Tomcat 未能保护应用程序不受 HTTP_PROXY 环境变量的不可信数据影响。远程攻击者可利用此问题将出站流量重定向到任意代理服务器。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-5388)

发现 Tomcat 未能正确控制读取系统属性。恶意应用程序可能利用此问题绕过安全管理器限制。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6794)

发现 Tomcat 未能正确控制某些配置参数。恶意应用程序可能利用此问题绕过安全管理器限制。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-6796)

发现 Tomcat 未能正确限制全局 JNDI 资源访问。恶意应用程序可利用此问题访问任意全局 JNDI 资源，而无需明确的 ResourceLink。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-6797)

Regis Leroy 发现 Tomcat 未能正确从 HTTP 请求行中筛选出特定无效字符。远程攻击者可能利用此问题在 HTTP 响应中注入数据。
(CVE-2016-6816)

Pierre Ernst 发现 Tomcat JmxRemoteLifecycleListener 未能执行建议的修复。远程攻击者可能利用此问题执行任意代码。(CVE-2016-8735)

发现 Tomcat 未能正确处理发送文件代码中的错误处理。远程攻击者可利用此问题通过其他请求访问信息。(CVE-2016-8745)

Paul Szabo 发现 Tomcat 程序包未能正确处理升级和移除。本地攻击者可能利用此问题获取根权限。（CVE-2016-9774、CVE-2016-9775）

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 Tomcat Servlet 和 JSP 引擎及其特定于 Debian 的 maintainer 脚本中发现多个安全漏洞。这些缺陷可导致权限升级、信息泄露和远程代码执行。作为此更新的一部分，还修复了由于先前漏洞的修复不完整而导致的一些回归。

USN-3177-1 修复了 Tomcat 漏洞。此更新在 Tomcat 以安全管理器启动的环境中引入了回归。此更新修复了该问题。

我们对不便之处表示抱歉。

发现当用户名不存在时，Tomcat realm 实施未能正确处理密码。远程攻击者可利用此问题枚举用户名。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-0762)

Alvaro Munoz 和 Alexander Mirosh 发现 Tomcat 未能正确限制某实用工具方法的使用。恶意应用程序可能利用此问题绕过安全管理器限制。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。
(CVE-2016-5018)

发现 Tomcat 未能保护应用程序不受 HTTP_PROXY 环境变量的不可信数据影响。
远程攻击者可利用此问题将出站流量重定向到任意代理服务器。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-5388)

发现 Tomcat 未能正确控制读取系统属性。恶意应用程序可能利用此问题绕过安全管理器限制。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6794)

发现 Tomcat 未能正确控制某些配置参数。恶意应用程序可能利用此问题绕过安全管理器限制。
此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6796)

发现 Tomcat 未能正确限制全局 JNDI 资源访问。恶意应用程序可利用此问题访问任意全局 JNDI 资源，而无需明确的 ResourceLink。此问题仅影响 Ubuntu 12.04 LTS、Ubuntu 14.04 LTS 和 Ubuntu 16.04 LTS。(CVE-2016-6797)

Regis Leroy 发现 Tomcat 未能正确从 HTTP 请求行中筛选出特定无效字符。远程攻击者可能利用此问题在 HTTP 响应中注入数据。(CVE-2016-6816)

Pierre Ernst 发现 Tomcat JmxRemoteLifecycleListener 未能执行建议的修复。远程攻击者可能利用此问题执行任意代码。(CVE-2016-8735)

发现 Tomcat 未能正确处理发送文件代码中的错误处理。远程攻击者可利用此问题通过其他请求访问信息。(CVE-2016-8745)

Paul Szabo 发现 Tomcat 程序包未能正确处理升级和移除。本地攻击者可能利用此问题获取根权限。
（CVE-2016-9774、CVE-2016-9775）

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
96720	Ubuntu 14.04 LTS / 16.04 LTS：Tomcat 漏洞 (USN-3177-1)	Nessus	Ubuntu Local Security Checks	2017/1/24	2023/10/20	critical
96018	Debian DSA-3739-1：tomcat8 - 安全更新	Nessus	Debian Local Security Checks	2016/12/20	2023/5/14	critical
96017	Debian DSA-3738-1：tomcat7 - 安全更新	Nessus	Debian Local Security Checks	2016/12/20	2023/5/14	critical
96978	Ubuntu 14.04 LTS：Tomcat 回归 (USN-3177-2)	Nessus	Ubuntu Local Security Checks	2017/2/3	2023/10/20	critical

检测

插件搜索

critical

critical

critical

critical